📝 Add SBOM

Author: veit

docs/intro.rst

@@ -51,7 +51,7 @@ Ab Kapitel 2 folgt das Tutorial dem Prototyp eines Forschungsprojekts:
    verschiedenen Möglichkeiten verschoben.
 #. :doc:`performance/index` stellt Möglichkeiten vor, wie ihr euren Code
    schneller laufen lassen könnt.
-#. :doc:`productive/index` product zeigt, was notwendig ist, um reproduzierbare
+#. :doc:`productive/index` zeigt, was notwendig ist, um reproduzierbare
    Ergebnisse zu erzielen: Es werden nicht nur :doc:`reproducible environments
    <productive/envs/index>` benötigt, sondern auch die Versionierung des
    :doc:`Quellcodes <productive/git/index>` und der :doc:`Daten
@@ -61,7 +61,7 @@ Ab Kapitel 2 folgt das Tutorial dem Prototyp eines Forschungsprojekts:
    :doc:`Rests <productive/testing>` und :doc:`python-basics:logging/index`.
    Schließlich enthält das Kapitel Ratschläge zur :doc:`Verbesserung der
    Codequalität <productive/qa/index>` und des :doc:`sicheren Betriebs
-   <productive/security>`.
+   <productive/security/index>`.
 #. :doc:`web/index` kann entweder Dashboards aus Jupyter-Notebooks generieren
    oder eine umfassendere Anwendungslogik erfordern, wie in
    :doc:`pyviz:bokeh/embedding-export/flask`, demonstriert, oder Daten über

docs/productive/envs/uv/index.rst

@@ -59,7 +59,7 @@ könnt, sodass auch `Claude Code <https://claude.com/product/claude-code>`_ oder
 `Cursor <https://cursor.com>`_ zuverlässig uv verwenden.
 
 Wie ihr regelmäßig automatisiert die Abhängigkeiten eures Projekts aktualisieren
-könnt, beschreiben wir in :doc:`dependency-bot`. Diese Maßnahmen erhöhen die
+könnt, beschreiben wir in :doc:`renovate`. Diese Maßnahmen erhöhen die
 Sicherheit eures Projekts erheblich.
 
 .. seealso::
@@ -78,6 +78,6 @@ automatisiert in den verschiedenen Python-Umgebungen testen.
    :hidden:
 
    cicd
-   dependency-bot
+   renovate
    claude-cursor
    docker

…cs/productive/envs/uv/dependency-bot.rst docs/productive/envs/uv/renovate.rstdocs/productive/envs/uv/dependency-bot.rst renamed to docs/productive/envs/uv/renovate.rst docs/productive/envs/uv/dependency-bot.rst renamed to docs/productive/envs/uv/renovate.rst

@@ -22,7 +22,7 @@ externe Integrationen erforderlich wären, :abbr:`z.B. (zum Beispiel)` das
 Wenn bereits eine PaaS-Lösung wie `Kubernetes
 <https://de.wikipedia.org/wiki/Kubernetes>`_ verwendet wird, können mit
 GitLab-CI/CD Apps automatisch bereitgestellt, getestet und skaliert werden.
-Zudem kann automatisch die :doc:`/productive/security` eures Projekts
+Zudem kann automatisch die :doc:`/productive/security/index` eures Projekts
 überprüft werden.
 
 GitLab ist eine komplett paketierte Plattform, während GitHub mit Apps aus dem

docs/productive/git/advanced/gitlab/index.rst

@@ -74,4 +74,4 @@ andererseits für das :doc:`testing`, :doc:`python-basics:logging/index`,
     testing
     logging
     qa/index
-    security
+    security/index

docs/productive/index.rst

@@ -648,8 +648,9 @@ Alternativen
 
     * generiert `OWASP CycloneDX <https://cyclonedx.org>`_, `SPDX Software Bill
       of Materials (SBOM)
-      <https://github.com/opensbom-generator/spdx-sbom-generator>`_ oder
-      benutzerdefinierte FOSS-Attributionsdokumentation für euer Softwareprojekt
+      <https://spdx.github.io/spdx-spec/v3.0.1/model/Software/Classes/Sbom/>`_
+      oder benutzerdefinierte FOSS-Attributionsdokumentation für euer
+      Softwareprojekt
     * automatisiert eure FOSS-Policy, um euer Softwareprojekt und seine
       Abhängigkeiten auf Lizenzierung, Sicherheitslücken, Quellcode und
       technische Standards zu prüfen

docs/productive/licensing.rst

@@ -0,0 +1,48 @@
+stages:
+  - build
+  - sbom
+
+build:
+  stage: build
+  script:
+    - uv build
+  artifacts:
+    paths:
+      - dist/
+
+include:
+  - template: Security/Dependency-Scanning.gitlab-ci.yml
+
+generate-sbom:
+  stage: test
+  image: ghcr.io/sbomify/sbomify-action
+  variables:
+    LOCK_FILE: uv.lock
+    OUTPUT_FILE: gl-sbom-report.cdx.json
+    UPLOAD: "false"
+    ENRICH: "true"
+  script:
+    - /sbomify.sh
+  artifacts:
+    paths:
+      - gl-sbom-report.cdx.json
+    reports:
+      cyclonedx: gl-sbom-report.cdx.json
+
+generate-sbom:
+  stage: sbom
+  image: ghcr.io/sbomify/sbomify-action
+  variables:
+    LOCK_FILE: uv.lock
+    OUTPUT_FILE: sbom.cdx.json
+    COMPONENT_NAME: myapp
+    COMPONENT_VERSION: $CI_COMMIT_TAG
+    UPLOAD: "false"
+    ENRICH: "true"
+  script:
+    - /sbomify.sh
+  artifacts:
+    paths:
+      - sbom.cdx.json
+    reports:
+      cyclonedx: sbom.cdx.json