Документация по спецификации программного обеспечения для пакетов Python

Согласно предложению Python Enhancement Proposal (PEP), которое сейчас обсуждается на python.org, в пакетах Python будут использоваться документы спецификации программного обеспечения (SBOM) для улучшения их «измеримости» и решения проблемы «фантомных зависимостей» в пакетах Python.

Объясняя мотивы предложения, созданного 2 января, авторы заявляют, что пакеты Python особенно подвержены проблеме фантомных зависимостей, то есть они часто включают программные компоненты, написанные не на Python, по таким причинам, как совместимость со стандартами, простота установки или использование в таких случаях, как машинное обучение, которые используют скомпилированные библиотеки из C, C++, Rust, Fortran и других языков.

В предложении отмечается, что формат Python wheel предпочитается пользователями из-за простоты установки, но этот формат требует связывания общих скомпилированных библиотек без метода кодирования метаданных о них. Кроме того, пакеты, связанные с упаковкой Python, иногда должны решать проблему начальной загрузки, поэтому включают проекты на чистом Python в исходный код, но эти программные компоненты также не могут быть описаны с помощью метаданных пакета Python и, следовательно, могут быть пропущены инструментами анализа компонентов программного обеспечения (SCA), что может означать, что уязвимые программные компоненты не будут сообщены точно. Включение документа SBOM с аннотацией всех включенных библиотек позволит инструментам SCA надежно идентифицировать включенное программное обеспечение.

SBOM - это метод, не зависящий от технологии и экосистемы, для описания состава, происхождения, наследия и прочего программного обеспечения, отмечается в предложении. SBOM используются в качестве исходных данных для инструментов SCA, таких как сканеры уязвимостей и лицензий, а также находят все более широкое применение в глобальных нормативных актах и рамочных программах по программному обеспечению. Например, SBOM требуются в недавних правилах безопасности, таких как Secure Software Development Framework.

По всем этим причинам SBOM могут быть использованы для улучшения измеримости пакетов Python. Предложение делегирует метаданные, специфичные для SBOM, документам SBOM, включенным в пакеты Python, и добавляет основное поле метаданных для возможности обнаружения включенных документов SBOM.