위키득계정 ↗
기술

SPDX

SPDX기술
표준의 역할
소프트웨어 구성 정보 교환
다루는 정보
출처와 라이선스 및 보안
프로젝트 구성
명세와 라이선스 목록 및 도구
운영 기반
Linux Foundation
SPDX는 소프트웨어 구성 명세와 관련 메타데이터를 교환하기 위한 공개 표준이다. 구성 요소의 출처와 라이선스 및 보안 정보를 공통 형식으로 전달하며 명세와 라이선스 목록 및 도구로 이루어진 프로젝트이기도 하다.

구성 정보의 공통 형식

조직이나 도구마다 다른 방식으로 정리한 소프트웨어 정보를 공통 구조로 전달하도록 한다. 구성 요소에 대한 사실과 그 사실에 관한 주장을 표현하며 기계와 사람이 읽을 수 있는 자료 형식을 지향한다.

명세와 라이선스 목록

SPDX 프로젝트에는 문서의 표현 규칙을 정하는 명세와 별도로 라이선스 목록이 있다. 이 목록에는 식별자와 예외 및 일치 판단 지침과 라이선스 표현식 구문이 포함된다. 문서와 목록을 처리하는 도구 및 라이브러리도 제공된다.

사실 전달과 판단의 구분

구성 요소와 관련 메타데이터를 효율적으로 교환하는 것이 중심 목적이다. 공통 형식은 반복적인 자료 정리 작업을 줄이고 다른 도구가 같은 정보를 활용하게 한다. 표준 자체가 라이선스에 대한 법적 해석이나 준수 여부를 대신 판단하는 것은 아니다.

관련 문서

Syft / Grype / Trivy / SLSA / JSON / 메타데이터