软件物料清单 (SBOM)

本页列出由 PGSTY 社区维护的三个核心 Rust 扩展——vchord、vchord_bm25 与 pg_tokenizer 的完整软件物料清单（Software Bill of Materials, SBOM）。下方所有依赖版本号与 SPDX 许可证标识符均直接提取自各仓库当前的 Cargo.toml、Cargo.lock，以及存在时的 deny.toml。

核心扩展套件概览

正式版本的测试与打包矩阵覆盖 PostgreSQL 14–18。vchord 和 vchord_bm25 的可选 pg19 特性用于开发验证；pgrx 提供绑定不代表扩展已正式支持。

1 · vchord (pgsty/vchord)

vchord 编译为 C ABI 兼容的动态链接库（cdylib），通过 shared_preload_libraries 加载至 PostgreSQL 进程空间。在 PostgreSQL 扩展层，它依赖上游基础扩展 vector（pgvector）提供标准 vector 与 halfvec 数据类型。

1.1 Workspace 内部 Crate 清单 (vchord)

1.2 直接第三方依赖清单 (vchord)

2 · vchord_bm25 (pgsty/vchord_bm25)

vchord_bm25 是独立编译的 Rust/pgrx 扩展（cdylib），在 PostgreSQL 内实现原生 Okapi BM25 相关性评分与 Block-WeakAnd（WAND）倒排索引扫描。它没有强制的外部扩展运行时依赖，既可直接搭配 PostgreSQL 原生 tsvector 使用，也可配合 pg_tokenizer 使用。

2.1 Workspace 内部 Crate 清单 (vchord_bm25)

2.2 直接第三方依赖清单 (vchord_bm25)

3 · pg_tokenizer (pgsty/pg_tokenizer)

pg_tokenizer 是单 Crate 结构的 Rust/pgrx 扩展（cdylib，采用 Apache-2.0 许可证），在 PostgreSQL 数据库内提供多语言文本分析流水线、预分词器、词干提取、停用词/同义词过滤整数词元 ID（Token ID）编码，以及带位置的 tsvector 输出。

3.1 直接依赖与关键原生绑定 (pg_tokenizer)

4 · 许可证合规审计与 SBOM 导出验证

vchord 与 vchord_bm25 使用 cargo-deny（deny.toml）定义并校验依赖项许可证白名单，pg_tokenizer 的锁定依赖清单见上文第 3 节。配置的许可证白名单包括：

• MIT
• Apache-2.0 与 Apache-2.0 WITH LLVM-exception
• BSD-2-Clause 与 BSD-3-Clause
• ISC
• Unicode-3.0 与 Unicode-DFS-2016
• CC0-1.0 与 Zlib

您可以在任意扩展源码目录下直接运行以下命令，审计完整的传递依赖树或导出机器可读的 CycloneDX / SPDX JSON 格式 SBOM 文件：

# 1. 使用 cargo-deny 校验许可证白名单与安全漏洞公告
# 适用于包含 deny.toml 的仓库
cargo deny check

# 2. 查看完整锁定依赖树及其 SPDX 许可证
cargo tree --format "{p} ({l})"

# 3. 导出标准 CycloneDX 1.4 JSON 格式的软件物料清单 (SBOM)
cargo sbom --output-format cyclone_dx_json_1_4 > sbom.cdx.json