SPDX为每个软件许可证赋予一个简短ID——并成为ISO SBOM格式

到2010年，每家发布软件的公司都必须跟踪许可证和组件，但每个工具和团队对它们的拼写各不相同——“Apache 2”、“ASL 2.0”、“Apache-2.0”——导致合规数据无法在组织之间流转。Linux基金会的SPDX项目在标识符层面解决了这个问题：为软件包的组件和元数据提供标准数据格式，并附上一份规范许可证清单，每个许可证对应一个稳定的简短ID。

由于这些ID稳定且机器可读，扫描器、审计方和供应商无需转换即可交换软件物料清单。SPDX成为事实上的SBOM格式，并在全球软件供应链中以此角色度过了十年。

2021年8月24日，该规范通过ISO/IEC JTC 1发布为ISO/IEC 5962:2021。Linux基金会将这一里程碑描述为“从事实上的行业标准转变为正式的ISO/IEC JTC 1标准”，使SPDX能够应对供应链中软件安全与完整性的国际要求。

每个许可证一个规范简短ID，机器可读

真正破坏自动化合规的是许可证拼写歧义，而非法律纠纷。

稳定的简短ID让任意两个工具无需人工审核即可就许可证达成一致。

十年作为事实上的SBOM格式，意味着ISO认证是对既有实践的认可，而非凭空创造。

组件加元数据的格式服务于许可证之外的安防和供应链用途，扩大了受众范围。

合规失败源于歧义，而非意图。标准化标识符——而非法律文本——让工具能够自动达成一致，这正是将一份检查清单转变为行业格式的关键。

ISO/IEC 5962:2021使SPDX成为国际公认的软件物料清单开放标准，恰逢各国政府开始在采购中要求SBOM。该规范作为Linux基金会下免费提供的ISO标准继续演进。