DataClassificationの非推奨について

[KAWAHARA-souta]

related to #1

cyclonedx/model/_init.py_内において，DataClassificationクラスは以下のように宣言され，またコメントがかかれている．

  70 @serializable.serializable_class                                            
  71 class DataClassification:                                                   
  72     """                                                                     
  73     This is our internal representation of the `dataClassificationType` complex type within the CycloneDX standard.
  74                                                                             
  75     DataClassification might be deprecated since CycloneDX 1.5, but it is not deprecated in this library.
  76     In fact, this library will try to provide a compatibility layer if needed.
  77                                                                             
  78     .. note::                                                               
  79         See the CycloneDX Schema for dataClassificationType:                
  80         https://cyclonedx.org/docs/1.6/xml/#type_dataClassificationType     
  81     """

コメントには，DataClassificationクラスはcyclonedx1.5でdeprecatedされているようであるとかかれている．
これが本当であるかの事実確認．およびなんらかのコードの修正が必要な場合には具体的にどうすべきかを調査する．

[KAWAHARA-souta]

まずコメントにも書いてあるとおり，DataClassificationクラスはcyclonedxのstandardにおける dataClassificationType の実装であることに注意する必要がある．

この上でこのデータの仕様は https://cyclonedx.org/docs/1.6/xml/#type_dataClassificationType に記載されており，また例えばxmlでそのデータの表現(Serialize?)は，xmlのスキーマ(xsd)である https://cyclonedx.org/schema/bom-1.6.xsd を確認する必要がある．

後のコメントではこれらのドキュメントをもとに議論をするため留意する．

[KAWAHARA-souta]

実験として，このDataClassificationを使って現在どのようなSBOMが作成できるのか試してみた．
ソースコードは以下

  1 from cyclonedx.model.bom import Bom                                                          
  2 from cyclonedx.model.component import XsUri                                                  
  3 from cyclonedx.model.service import Service                                                  
  4 from cyclonedx.model import DataFlow, DataClassification                                     
  5 from cyclonedx.output import BaseOutput, make_outputter                                      
  6 from cyclonedx.schema import OutputFormat, SchemaVersion                                     
  7                                                                                              
  8 bom = Bom()                                                                                  
  9                                                                                              
 10 cc_data_classification = DataClassification(                                                 
 11     flow=DataFlow.INBOUND,                                                                   
 12     classification='sensitive'                                                               
 13 )                                                                                            
 14 payment_service_endpoints = [                                                                
 15     XsUri('https://api.example.com/payment')                                                 
 16 ]                                                                                            
 17 payment_service = Service(                                                                   
 18     name='PaymentProcessingService',                                                         
 19     version='2.1.0',                                                                         
 20     description='A service that processes customer payments and handles sensitive credit card data.',
 21     data=[cc_data_classification],                                                           
 22     endpoints=payment_service_endpoints,                                                     
 23     authenticated=True,                                                                      
 24     x_trust_boundary=True,                                                                   
 25 )                                                                                            
 26 bom.services.add(payment_service)                                                            
 27                                                                                              
 28 user_behavior_data_classification = DataClassification(                                      
 29     flow=DataFlow.INBOUND,                                                                   
 30     classification='public'                                                                  
 31 )                                                                                            
 32 analytics_report_data_classification = DataClassification(                                   
 33     flow=DataFlow.OUTBOUND,                                                                  
 34     classification='internal'                                                                
 35 )                                                                                            
 36 analytics_service = Service(                                                                 
 37     name='AnalyticsService',                                                                 
 38     version='1.0.0',                                                                         
 39     description='A service that collects user behavior data and generates internal analytics reports.',
 40     data=[                                                                                   
 41         user_behavior_data_classification,                                                   
 42         analytics_report_data_classification                                                 
 43     ],                                                                                       
 44 )                                                                                            
 45 bom.services.add(analytics_service)                                                          
 46                                                                                              
 47 outputterV1_6 = make_outputter(                                                              
 48     bom,                                                                                     
 49     OutputFormat.XML,                                                                        
 50     SchemaVersion.V1_6,                                                                      
 51 )                                                                                            
 52 output = outputterV1_6.output_as_string(indent=4)                                            
 53 print(output)

そしてこのプログラムを実行して得られたSBOMは以下のとおり．

  1 <?xml version="1.0" ?>                                                                       
  2 <bom xmlns="http://cyclonedx.org/schema/bom/1.6" serialNumber="urn:uuid:bfcd2a08-8e6b-4a70-916a-f954c53ba224" version="1">
  3     <metadata>                                                                               
  4         <timestamp>2025-05-30T23:00:32.610936+00:00</timestamp>                              
  5     </metadata>                                                                              
  6     <services>                                                                               
  7         <service bom-ref="BomRef.187424823592382.28558613061821614">                         
  8             <name>AnalyticsService</name>                                                    
  9             <version>1.0.0</version>                                                         
 10             <description>A service that collects user behavior data and generates internal analytics reports.</description>
 11             <data>                                                                           
 12                 <classification flow="inbound">public</classification>                       
 13                 <classification flow="outbound">internal</classification>                    
 14             </data>                                                                          
 15         </service>                                                                           
 16         <service bom-ref="BomRef.7377500943938946.35379727546451856">                        
 17             <name>PaymentProcessingService</name>                                            
 18             <version>2.1.0</version>                                                         
 19             <description>A service that processes customer payments and handles sensitive credit card data.</description>
 20             <endpoints>                                                                      
 21                 <endpoint>https://api.example.com/payment</endpoint>                         
 22             </endpoints>                                                                     
 23             <authenticated>true</authenticated>                                              
 24             <x-trust-boundary>true</x-trust-boundary>                                        
 25             <data>                                                                           
 26                 <classification flow="inbound">sensitive</classification>                    
 27             </data>                                                                          
 28         </service>                                                                           
 29     </services>                                                                              
 30     <dependencies>                                                                           
 31         <dependency ref="BomRef.187424823592382.28558613061821614"/>                         
 32         <dependency ref="BomRef.7377500943938946.35379727546451856"/>                        
 33     </dependencies>                                                                          
 34 </bom>

具体的には，11~14行目や25~27行目がDataClassificationにあたる．

[KAWAHARA-souta]

上で得られたSBOMをbom-1.6.xsdを利用してvalidationしてみるが，特に問題は発生せず，validationは成功した．
つまり，少なくとも現時点ではこのクラスは削除しなければならないものではなく，互換レイヤのために残されているようなものだと思われる．
(もし削除対象であれば真っ先に対応するべきなので，それはそう．)

[KAWAHARA-souta]

ここでbom-1.6.xsdを注意深く観察すると，以下の行が確認できる．

  <xs:complexType name="service">
    <xs:sequence>
    (...)
    <xs:element name="data" minOccurs="0" maxOccurs="1">
      <xs:complexType>
        <xs:choice>
          <xs:sequence minOccurs="0" maxOccurs="unbounded">
            <xs:element name="classification" type="bom:dataClassificationType">
              <xs:annotation>
                <xs:documentation>DEPRECATED: Specifies the data classification. THIS FIELD IS DEPRECATED AS OF v1.5. Use dataflow\classification instead</xs:documentation>
              </xs:annotation>
            </xs:element>
          </xs:sequence>

先ほど作ったSBOMに載っていたclassificationはまさに上記の部分であり，deprecatedであることや，代わりに dataflow\classification を使うべきであることがかかれている．

ではその dataflow\classification はというとこの直後にかかれている．

  <xs:complexType name="service">
    <xs:sequence>
    (...)
    <xs:element name="data" minOccurs="0" maxOccurs="1">
      <xs:complexType>
        <xs:choice>
          <xs:sequence minOccurs="0" maxOccurs="unbounded">
            <xs:element name="classification" type="bom:dataClassificationType">
            (...)
            </xs:element>
          </xs:sequence>
          <xs:element name="dataflow" minOccurs="0" maxOccurs="unbounded">
            <xs:annotation>
              <xs:documentation>Specifies the data classification.</xs:documentation>
            </xs:annotation>
            <xs:complexType>
              <xs:sequence>
                <xs:element name="classification" type="bom:dataClassificationType" minOccurs="0" maxOccurs="1">
                  <xs:annotation>
                    <xs:documentation>Specifies the data classification.</xs:documentation>
                  </xs:annotation>
                </xs:element>

dataClassificationTypeはここに移動されるべきであるということ．
また，dataflowの配下にはいくつか別のelementがあったため，実装の際には注意が必要である．

[KAWAHARA-souta]

これは不明な点についてだが，serviceと同じ階層に name="dataClassificationType" の complexType が宣言されていた．
これについても確認しておいたほうがよいかもしれない．

  <xs:complexType name="service">
  ...
  </xs:complexType>
  <xs:complexType name="dataClassificationType">
    <xs:annotation>
      <xs:documentation>Specifies the data classification.</xs:documentation>
    </xs:annotation>
    <xs:simpleContent>
      <xs:extension base="xs:normalizedString">
        <xs:attribute name="flow" type="bom:dataFlowType" use="required">
          <xs:annotation>
            <xs:documentation>Specifies the flow direction of the data.</xs:documentation>
          </xs:annotation>
        </xs:attribute>
      </xs:extension>
    </xs:simpleContent>
  </xs:complexType>
  <xs:simpleType name="dataFlowType">
...
  </xs:simpleType>

追記:
なるほど，この部分はdataClassificationTypeの定義をしているところらしい．

[KAWAHARA-souta]

公式のユースケースより，とくにDataClassificationまわりで参考にすべき．
https://cyclonedx.org/use-cases/service-dependencies/

[KAWAHARA-souta]

現時点での結論

DataClassificationクラスはdata配下に直接配置する形でのデータ構造は非推奨になっているが，data.dataflow配下に置く形で引き続き利用されるため，クラス自体は非推奨にはならない．
DataClassificationに記載されているコメントは削除したい．

また，クラス自体はdeprecatedではないものの，そのデータを配置する箇所である，
cyclonedx/model/service.py 内の

 43 @serializable.serializable_class                                                        
 44 class Service(Dependable):                                                              
 45     """                                                                                 
 46     Class that models the `service` complex type in the CycloneDX schema.               
 47                                                                                         
 48     .. note::                                                                           
 49         See the CycloneDX schema: https://cyclonedx.org/docs/1.6/xml/#type_service      
 50     """                                                                                 
 51                                                                                         
 52     def __init__(

Serviceクラス内のdataというコンポーネントについてはdeprecatedである警告を流す必要がある．

[KAWAHARA-souta]

Service.dataを非推奨にすること，およびその代替を作ることは今後のタスクとして取り組む必要がある．
(Service.dataを非推奨にすることは，以前のPRではスコープ範囲外ということでマージされなかったので．)

これについて別issueを作ってまた調査を開始する．