# @cdxgen/cdx-proto 中文文档

规范地址：https://npmcn.com/package/%40cdxgen/cdx-proto/

版本：2\.3\.0
npm 元数据更新时间：2026-09-19T23:31:29.819Z
中文译文更新时间：2026-11-09T06:55:21.827Z
软件包许可：MIT

本文由上游 README 翻译，可能存在偏差，请结合原文核对 API、命令与配置。版权与许可归原作者所有。

原始 npm 页面：https://www.npmjs.com/package/%40cdxgen/cdx-proto
原文对照：https://npmcn.com/package/%40cdxgen/cdx-proto/?lang=original
项目主页：https://github.com/cdxgen/cdx-proto#readme
源码仓库：https://github.com/cdxgen/cdx-proto

## 关键信息（来自 npm 元数据）

- 包体积（解压后）：2.1 MB，43 个文件
- 模块格式：ES Module
- TypeScript 类型：包内自带
- Node.js 要求：\>=22
- 运行依赖：1 个
- 首次发布：2026-06-08T04:59:52.047Z
- 最新版本发布：2026-09-19T23:31:29.499Z
- 近 30 天下载量：720488（2026-10-10 至 2026-11-08，npm 官方下载统计）
- 已发布版本数：5（近 12 个月 5 个）

## 中文简介

带有协议缓冲器的 CirmDX BOM 序列化/去序列化库

## 安装

```sh
npm install @cdxgen/cdx-proto
```

也可以使用：`pnpm add @cdxgen/cdx-proto`、`yarn add @cdxgen/cdx-proto`、`bun add @cdxgen/cdx-proto`

## README

# cdx- proto (英语)

以协议缓冲器来串行化/去串行化 CyproneDX BOM 的运行时库. 该项目是利用 [原生基因( 原生基因)](https://github.com/bufbuild/protobuf-es) 从官方 [原型](https://github.com/CycloneDX/specification/blob/master/schema/bom-1.5.proto) 规格.

## 2.0.0 要点

-   版本特定子路径导出 : `@cdxgen/cdx-proto/v1.5`, (中文(简体) ), `v1.6`,以及 `v1.7`
-   用于计划选择和BOM编码/解码工作流程的助手 API
-   已生成的更精简 npm 包内容 `docs/`

## 样本使用情况

```js
import {
  createBom,
  decodeBomBinary,
  encodeBomBinary,
  encodeBomJson,
  getBomSchema,
  parseBomJson,
} from "@cdxgen/cdx-proto";
import { BomSchema as BomSchema16 } from "@cdxgen/cdx-proto/v1.6";
import { fromJson } from "@bufbuild/protobuf";

// Use version-specific entrypoints when you only need one schema version.
const bom16 = fromJson(BomSchema16, {
  specVersion: "1.6",
  version: 1,
});

// Or use the helper API to auto-select schemas and encode/decode BOMs.
const bom = createBom("1.7", {
  version: 1,
  serialNumber: "urn:uuid:11111111-1111-1111-1111-111111111111",
});

const binary = encodeBomBinary(bom, {
  writeUnknownFields: true,
});

const decoded = decodeBomBinary("1.7", binary, {
  readUnknownFields: true,
});

const json = encodeBomJson(decoded, {
  alwaysEmitImplicit: true,
});

const parsed = parseBomJson({
  specVersion: "1.6",
  version: 1,
});

const schema = getBomSchema(parsed.specVersion);
```

### 帮助 API

-   `getBomSchema(specVersion)` 返回匹配 `BomSchema` 用于气旋DX `1.5`, (中文(简体) ), `1.6`,或 `1.7`。 。 。 .
-   `createBom(specVersion, init)` 创建 BOM 信件并自动设定 `specVersion`。 。 。 .
-   `parseBomJson(json)` 财务报告和审定财务报表 `parseBomJsonString(json)` 自动从 `specVersion` 编号 : `spec_version`。 。 。 .
-   `decodeBomBinary(specVersion, bytes)` 当已知 schema 版本时解码出一个 protobuf BOM.
-   `encodeBomBinary(bom)`, (中文(简体) ), `encodeBomJson(bom)`,以及 `encodeBomJsonString(bom)` 从BOM中选择正确的方案.
-   `toBomMessage(value, specVersion?, options?)` 是“将我拥有的都转换成 BOM 消息”的单个切入点: 解码消息通过(参见 `isBomMessage`),JSON字符串被解析出,Canonical JSON对象被嵌入式版本(或默认为最新支持的倒置版本)所发送出,而缺置输入输出出一空BOM. 这取代了消费者先前携带的输入-发送再执行.
-   `isBomMessage(value)` 是一个类型守护符,用于解码BOM 消息中任何支持的 spec 版本,按键于 `$typeName` 而不是鸭子型的形状.
-   `convertBom(bom, targetSpecVersion)` 光谱版本之间的交叉转换。 回返 `{ bom, warnings }` 地点 `warnings` 列出在失落下级时掉入的字段路径。 更改不同版本之间主要关系的字段(`metadata.licenses` 财务报告和审定财务报表 `components[].evidence.identity`,1.5分单数,1.6分后的一个阵列被自动重塑——包裹在升级后倒塌为首次降级,其中报告的被丢弃的兄弟姐妹在降级时倒下 `warnings` ——所以跨越1.5/1.6分界线的转换不再抛出. 升级通常不会产生警告.
-   `bomStats(bom)` 返回组件/依赖性计数和带有压缩比的 JSON/二进制字节大小.
-   `detectBomSpecVersion(value)` 从 BOM 对象或信件读取 spec 版本.
-   `normalizeSpecVersion(specVersion)` 规范化 `"v1.6"`, (中文(简体) ), `1.6`,以及 `"1.6.0"` 将拼写成一个被支持的版本,以其他任何方式进行; `isSupportedSpecVersion(value)` 是它的非抛出探测器.
-   `encodeBomBase64(bom)` 为无法携带生字节的上下文(OCI标签,内到上游,环境变量)生产出原生取出二进制的基质64字符串. `decodeBomBase64(specVersion, string)` 带有已知版本的解码器 `parseBomBase64(string)` 自动检测,镜像二进制帮助器.

### JSON担保

助推层被设计为与犬科气旋DX JSON相配合,而不是与原生出活泼的JSON相配合.

-   `parseBomJson()` 财务报告和审定财务报表 `decodeBomJson()` 接受冠状气旋DX输入,例如:
    -   根字段类 `bomFormat` 财务报告和审定财务报表 `specVersion`
    -   破碎的别名, 如 `bom-ref`, (中文(简体) ), `mime-type`,以及 `x-trust-boundary`
    -   犬科散列内容字段 `hashes[].content`
    -   犬类标准/声明对象,而不是原生取材清单包装
-   未定义的对象属性和未定义的数组条目在原地取出解析之前进行静态化,这样调用者就可以通过普通的JavaScript对象而无需手动取出 `undefined` 数值第一.
-   `encodeBomJson()` 财务报告和审定财务报表 `encodeBomJsonString()` 在输出时恢复犬形气旋DX JSON,包括:
    -   `bomFormat: "CycloneDX"`
    -   管理局 `specVersion`
    -   粗体铝值而不是原生的铝名称,例如 `CLASSIFICATION_*`, (中文(简体) ), `HASH_ALG_*`,或 `EXTERNAL_REFERENCE_TYPE_*`
    -   犬形对象形状 `definitions` 财务报告和审定财务报表 `declarations`
    -   平顶 `dependencies[].dependsOn: string[]` 而不是原生的窝 `dependencies` 树 (见下文)
-   `parseBomBinary()` 自动检测嵌入式支持的计划版本(`1.5`, (中文(简体) ), `1.6`,或 `1.7`)和可以配对 `encodeBomJson()` 读取原生的 BOMs 回作为犬科气旋DX JSON.

#### 校正原生字段名称, 并与使用已发布的工具交互

释放出气旋DX protobuf schemas中,三个字段命名不同 而不是在气旋DX JSON 计划 他们应该镜像。 计划 这里的销售商都纠正了所有三个, 所以一个原生的 BOM 由这个图书馆使用 与JSON对应的同名:

| 版本 | 已发布原生名称 | 更正原名 | 犬科JSON(英语:JSON) |
| --- | --- | --- | --- |
| 1.6, 1.7 页:1 | `postalCodeue` | `postalCode` | `postalCode` |
| 1.5, 1.6, 1.7 (韩语) | `graphic` | `collection` | `collection` |
| 1.6, 1.7 页:1 | `cryptoRef` | `cryptoRefArray` | `cryptoRefArray` |

互通性在两个方面都得到保留:

-   **二进制不需要特殊处理.** 每个字段号码都不变 所以 线条格式是字节-同义的,无论产生何种方案.
-   **输入时接受JSON两种拼音.** 工具发射的Protobuf-JSON 从一个释放的图案中生成的 仍然使用旧名, 所以这些解码也. 输出总是使用 Canonic JSON 名称.

如果您直接从打出的消息读取这些字段(`cdx_16.*`, (中文(简体) ), `cdx_17.*`(中文(简体) ) 而不是通过犬科JSON帮助者,使用修正后的名字.

#### 依赖性图连接

Canonical CircleDX JSON 表示依赖图为平整数组 `{ ref, dependsOn: [ref, ...], provides: [ref, ...] }` 条目。 原生植物 镜像 XML 模型,并将孩子嵌入为 `repeated Dependency dependencies`, (中文(简体) ), 所以没有图书馆的桥梁 `dependsOn` 密钥未知为原生出自 被拒绝(默认选项)或默不作声地放弃 (单位:千美元)`ignoreUnknownFields: true`),从而空出依赖图.

帮助层在两种形式之间自动转换:

-   **JSON - > protobuf**: 每个 `dependsOn` 字符串变成嵌入 `{ ref }` 儿童 `dependencies`。已经原型 `dependencies` 数组和字符串/对象的混合数组也被接受.
-   **protobuf - > 贾森**: 有窝 `dependencies` 被平整回来 `dependsOn`。如果一个嵌入式入口带有自己的边缘(它本身的边缘) `dependencies` 或者说 `provides`),它被竖起到一个兄弟的上层入口,如此过渡 边缘永远不会消失。 条目由 `ref`。 。 。 .

简言之:如果向帮助者API提供犬形气旋DX JSON,在二进制后或消息回转后,应当得到犬形气旋DX JSON.

### 特定版本进口

使用子路径导出来避免装入您不需要的计划版本 :

```js
import { BomSchema as BomSchema15 } from "@cdxgen/cdx-proto/v1.5";
import { BomSchema as BomSchema16 } from "@cdxgen/cdx-proto/v1.6";
import { BomSchema as BomSchema17 } from "@cdxgen/cdx-proto/v1.7";
```

### 仅节点文件帮助器

`@cdxgen/cdx-proto/node` 添加文件系统方便包 污染主(浏览器安全)入口 `node:` 进口:

```js
import {
  isProtoBomFile,
  readBomFile,
  writeBomFile,
} from "@cdxgen/cdx-proto/node";

// Format is auto-detected from the extension: `.json` for canonical JSON,
// `.b64`/`.base64` for base64 protobuf payloads, and anything else
// (`.cdx`, `.cdx.bin`, `.proto`, `.bin`, ...) as raw protobuf binary.
const bom = readBomFile("bom.cdx");
const bomJson = readBomFile("bom.cdx", { asJson: true });

writeBomFile("bom.json", bom); // pretty canonical JSON
writeBomFile("bom.cdx", bomJson); // coerced back to a message, then binary
writeBomFile("bom.b64", bom); // base64 protobuf payload

isProtoBomFile("bom.CDX.BIN"); // true — the extension list lives here once
```

## 国 际

货包是零依赖的 `cdx-proto` 转换、检查、, 并验证贝壳中的BOM。 格式由文件自动检测 扩展`.json` 为犬JSON, `.b64`编号 :`.base64` 用于基础64原生出, 任何其它的原生的二进制.

```sh
# Convert JSON to protobuf binary (~2x smaller for typical BOMs)
npx cdx-proto convert bom.json bom.bin

# Downgrade a 1.7 BOM to 1.5, warning about dropped fields
npx cdx-proto convert bom.json bom-1.5.json --to 1.5

# Convert to a base64 payload for embedding in labels or predicates
npx cdx-proto convert bom.json bom.b64

# Inspect component/dependency counts and byte sizes
npx cdx-proto inspect bom.bin

# Validate that a file parses cleanly
npx cdx-proto validate bom.json
```

## 许可证

麻省理工学院

## 常见问题

### @cdxgen/cdx-proto 是什么？

带有协议缓冲器的 CirmDX BOM 序列化/去序列化库

### 如何安装 @cdxgen/cdx-proto？

在项目目录运行 npm install @cdxgen/cdx-proto，或使用 pnpm add / yarn add / bun add。它还提供命令行工具 cdx-proto，可以用 npx cdx-proto 直接运行。

### @cdxgen/cdx-proto 支持 TypeScript 吗？

支持。包内自带 TypeScript 类型声明（package\.json 声明了 types 入口），安装后即可获得类型提示，无需再安装 @types 包。

### @cdxgen/cdx-proto 支持 ESM 还是 CommonJS？

以 ES Module 形式发布，推荐使用 import 引入。在 CommonJS 项目中，Node\.js 20\.19\+ / 22\.12\+ 可以直接 require\(\) 不含顶层 await 的 ES Module，更早的版本需要改用动态 import\(\)。

### @cdxgen/cdx-proto 需要什么版本的 Node\.js？

package\.json 的 engines 字段要求 Node\.js \>=22。版本不符时 npm 默认只给出警告，开启 engine-strict 后会拒绝安装。

### @cdxgen/cdx-proto 可以商用吗？

@cdxgen/cdx-proto 使用 MIT 许可。宽松许可：允许商业使用、修改和再分发，通常只需在分发时保留原版权与许可声明。以上为概括，不构成法律意见，请以许可原文为准。

### @cdxgen/cdx-proto 的下载量有多少？

根据 npm 官方下载统计，@cdxgen/cdx-proto 在 2026/10/10 – 2026/11/08 这 30 天内被下载 720,488 次，日均约 24,016 次。下载量会把 CI 构建、镜像同步和作为其他包依赖的安装一并计入，适合横向比较热度，不能直接等同于使用人数。

### @cdxgen/cdx-proto 还在维护吗？

最新版本 2\.3\.0 发布于 2026/09/20（1 个月前）；至今共发布 5 个版本，其中过去 12 个月发布了 5 个；首次发布于 2026/06/08。发布频率只是参考信号：功能稳定的工具可能很少需要更新，建议结合源码仓库的 issue 和提交记录判断。