その依存関係に、 判断の根拠を。

01 / SET UP

使う実装を選び、ウィザードを開く

3つはそれぞれ独立した実装です。SBOM照合とレポート出力のためだけに、すべてをインストールする必要はありません。追加のソース解析を使う場合は、対象コードに合う実装を選びます。

npm install -g seculens

seculens wizard --lang ja

pip install seculens

seculens wizard --lang ja

git clone https://github.com/masahiroid/seculens-php.git
cd seculens-php
composer install --no-dev

php bin/seculens wizard --lang ja

ウィザードでは「既存SBOMの検査」または「SBOM生成」を選び、入力ファイル、OSVデータの取得方法、任意のポリシー、出力先を指定します。顧客名・対象名・作成者も設定でき、開始前に設定を確認します。最後の確認で n を選ぶかCtrl+Cで中断できます。

02 / SBOM & VULNERABILITY MATCHING

部品表を準備し、OSV情報と照合する

既存のSPDX 2.2／2.3 JSON、またはCycloneDX 1.4〜1.7 JSONを読み込めます。対応するPackage URL（npm・PyPI・Composer）とバージョンが必要です。npmプロジェクトでは、依存関係をインストールした状態で次のコマンドから部品表を生成できます。

seculens sbom ./my-project --format cyclonedx --output sbom.json

この生成処理はnpm sbomを呼び出すため、対応するnpmが必要です。Python・PHP・コンテナーなどの部品表は、それぞれに対応した既存ツールで生成してから読み込みます。

OSVから脆弱性情報を取得して検査

seculens scan sbom.json --fetch-osv --lang ja --output reports

パッケージ名とエコシステムをOSVへ送り、取得した候補に対してバージョンの影響範囲をローカルで照合します。通信に失敗した場合は検査を停止します。バージョン範囲、修正版、撤回済み情報などを扱い、同じ脆弱性を指す別名はコンポーネント単位で統合します。

保存済みデータでオフライン検査

seculens scan sbom.json --db database.json --lang ja --output reports-offline

database.jsonには、過去の実行で保存したOSVデータなどを指定します。このモードはネットワークを使いません。同じSBOMとデータベースを使えば照合結果を再確認できますが、報告日時やWord文書のメタデータは実行ごとに変わる場合があります。

npmはSemVer、PyPIはPEP 440、Packagistは対応する数値バージョン形式を評価します。Composer固有の一部形式やGIT範囲だけの情報などは未評価。「一致なし」と「未評価」を区別して確認してください。

03 / LICENSE POLICY

許可・拒否・要確認の基準を設定する

次の内容を policy.json として保存します。チームの利用・配布条件に合わせてallowとdenyを設定し、検査コマンドに --policy policy.json を追加します。

{
  "allow": ["MIT", "Apache-2.0", "BSD-3-Clause"],
  "deny": ["AGPL-3.0-only", "AGPL-3.0-or-later"]
}

seculens scan sbom.json --db database.json --policy policy.json \
  --lang ja --output reports

• AND：すべての分岐で許可が必要です。
• OR：いずれかの選択肢が許可されている必要があります。
• WITH：例外を含む式全体を明示的に許可します。
• 不明・独自・未記載のライセンス、ポリシー未指定の検査は要確認として扱います。

判定対象はSBOMに宣言されたライセンスです。ソースコードと宣言の一致、実際の配布義務や顧客の利用条件までを自動で検証するものではありません。

04 / SOURCE REVIEW & REPORTS

ソースの確認候補と、報告書をまとめる

ソース解析は任意です。TypeScript版では --source ./src を追加すると、eval・new Function・innerHTML等の構文や複雑度・ネスト深度を確認します。Python版はPython、PHP版はPHPの構文解析を行います。これらは構文に基づく確認候補であり、関数間のデータフローや悪用可能性の確定ではありません。

seculens scan sbom.json --db database.json --policy policy.json \
  --source ./src --customer "Sample Company" --target "Web Service" \
  --issuer "Review Team" --lang ja \
  --report-style customer --output reports/customer

顧客提出用レイアウトは表紙、重大度順の一覧、番号付き詳細、評価範囲、根拠ハッシュをまとめます。Critical・Highは赤、Mediumは黄などの色とラベルで表示。重大度の情報が不足する場合はUnratedとし、ライセンスや構文上の指摘から重大度を推測しません。

CIでの終了条件

--fail-on-findings を加えると、影響する脆弱性、拒否ライセンス、セキュリティ確認候補の検出時に終了コード1になります。通常の0は「解析範囲の不足なく完了」を表し、要確認項目が残る場合があります。入力不正・実行エラー・評価範囲の不足は2で、検出による1が優先されます。JSONの内容も合わせて確認してください。