Ich habe bereits vor einiger Zeit eine Möglichkeit präsentiert, SBOMs aus alten Java-Projekten zu erstellen. Ich bin neulich einer speziellen Form von Java-Projekten begegnet, die mich dazu bewogen hat, mich auch hierfür an der (nachträglichen) Erstellung einer SBOM zu versuchen...

Das Szenario ist wie folgt: Man stößt auf eine Java-Anwendung, für die keine SBOM bereitgestellt wird, man möchte aber gerne eine haben. Man findet in der Anwendung einige JAR-Dateien, die in ihrem META-INF Verzeichnis ein Unterverzeichnis namens maven haben, das wiederum eine POM-Datei mit den Abhängigkeiten des jeweilgen JARs enthält. an hat keinen Zugriff auf die Quelltexte - und selbst wenn wird diese Anwendung auf so obskure Art und Weise gebaut, dass dieses Mal die direkte Benutzung von Maven oder Ivy ausfällt

Wie bereits beim ersten Artikel dazu klarwurde, ist Maven beim Erstellen von SBOMs in seinem Element.

Um das nutzen zu können, benötigt man jedoch erst einmal eine POM-Datei. Ich hatte beschrieben, dass die JAR-Dateien, die die Applikation ausmachen, jeweils in sich eine POM-Datei besitzen, die ihre jeweiligen Abhängigkeiten beschreibt.

Man könnte jetzt eine kleine POM-Datei erstellen, die die JARs direkt als Abhängigkeiten nutzt - ein Beispiel ist hier zu sehen:

<project>
  <modelVersion>4.0.0</modelVersion>
  <groupId>com.mycompany.app</groupId>
  <artifactId>my-app</artifactId>
  <version>1</version>
  <dependencies>
    <dependency>
      <groupId>de.elbosso</groupId>
      <artifactId>algorithms</artifactId>
      <version>2.4</version>
      <scope>system</scope>
      <systemPath>/some/path/plantuml.jar</systemPath>
    </dependency>
  </dependencies>
</project>

Das führt leider nicht zum gewünschten Ergebnis - auf diesem Wege ist das JAR für Maven eine schwarze Box - Maven schaut nicht hinein und wertet konsequenterweise also auch die enthaltene POM-Datei nicht aus und kann daher die transitiven Abhängigkeiten nicht erkennen.

Man kann aber über einen kleinen Weg das gewünschte Resultat dennoch erreichen: Legt man ein lokales Repository an und importiert die JAR-Dateien dahin, kann man das lokale Repository anschließend in der neu angelegten POM-Datei referenzieren - die Artefakte werden von dort geladen (und ihre POM-Dateien - dazu gleich mehr) und die komplette Information über direkte und transitive Abhängigkeiten steht zur Verfühung. Die POM-Datei von oben ändert sich wie folgt:

<project xmlns="http://maven.apache.org/POM/4.0.0">
  <modelVersion>4.0.0</modelVersion>
  <groupId>com.mycompany.app</groupId>
  <artifactId>my-app</artifactId>
  <version>1</version>
  <repositories>
    <repository>
      <id>local-maven-repo</id>
      <url>file:///${project.basedir}/local-maven-repo</url>
    </repository>
  </repositories>
  <dependencies>
    <dependency>
      <groupId>de.elbosso</groupId>
      <artifactId>algorithms</artifactId>
      <version>2.4-SNAPSHOT</version>
    </dependency>
  </dependencies>
</project>

Damit das funktioniert muss wie gesagt zunächst das JAR in ein lokales Repository überführt werden (die folgenden Kommandos werden unter Linux in dem Verzeichnis des Projekts für jede der JAR-Dateien ausgeführt, das auch die obige POM-Datei enthält):

mvn install:install-file -Dfile=plantuml.jar \
-DgroupId=de.elbosso -DartifactId=algorithms \
-Dversion=2.4-SNAPSHOT -Dpackaging=jar \
-DlocalRepositoryPath=local-maven-repo -DcreateChecksum=true
cp /tmp/algorithms-2.4-SNAPSHOT.pom local-maven-repo/de/elbosso/algorithms/2.4-SNAPSHOT/algorithms-2.4-SNAPSHOT.pom
sha1sum local-maven-repo/de/elbosso/algorithms/2.4-SNAPSHOT/algorithms-2.4-SNAPSHOT.pom |cut -d ' ' -f 1 >local-maven-repo/de/elbosso/algorithms/2.4-SNAPSHOT/algorithms-2.4-SNAPSHOT.pom.sha1
mvn -U dependency:tree -Dverbose

Wichtig ist im ersten Kommando die Option -DcreateChecksum=true - sie sorgt dafür, dass das lokale Repositrory Checksummen enthält, ohne die sich Maven weigert, dieses zu benutzen. Anschließend wird die im Repo generierte POM mit der aus dem Verzeichnis META-INF/maven der jeweiligen JAR-Datei überschrieben - der Pfad innerhalb des lokalen Repository ergibt sich aus den Werten von -DgroupId= sowie -DartifactId= und -Dversion= - also aufpassen! Die von mir als Beispiel dorthin kopierte POM sah so aus:

<?xml version="1.0" encoding="UTF-8"?>
<project xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd" xmlns="http://maven.apache.org/POM/4.0.0"
    xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
  <modelVersion>4.0.0</modelVersion>
  <groupId>de.elbosso</groupId>
  <artifactId>algorithms</artifactId>
  <version>2.4-SNAPSHOT</version>
  <description>POM was created from install:install-file</description>
  <dependencies>
    <dependency>
      <groupId>org.apache.ant</groupId>
      <artifactId>ant</artifactId> 
      <version>1.8.1</version>
    </dependency>
  </dependencies>
</project>

Anschließend werden die Checksummen für die POM-Dateien aktualisiert. Der anschließende Aufruf schließlich liefert einen ersten schnellen Test um zu sehen, dass alles funktioniert hat - es sollte sich ein Baum der direkten und transitiven Abhängigkeiten zeigen wie etwa hier im Beispiel:

[INFO] --- maven-dependency-plugin:2.8:tree (default-cli) @ my-app ---
[INFO] com.mycompany.app:my-app:jar:1
[INFO] \- de.elbosso:algorithms:jar:2.4-SNAPSHOT:compile
[INFO]    \- org.apache.ant:ant:jar:1.8.1:compile
[INFO]       \- org.apache.ant:ant-launcher:jar:1.8.1:compile

Man sieht - alle Dependencies sind da und man kann nun unter Verwendung des geeigneten Plugins an die Erstellung der SBOM gehen!

Den Prozess der Extraktion der unter META-INF/maven enthaltenen POMs, der Extraktion von -DgroupId= sowie -DartifactId= und -Dversion= daraus und der restlichen hier gezeigten Schritte ist mittels Shell-Skripting automatisierbar und verbleibt als Übung für den Leser!