feat(sbom): add support for rust-cargo package type

Signed-off-by: Radmir Khurum <radmir.khurum@flant.com>

Author: reyreavman

.specify/extensions.yml

@@ -1,14 +1,14 @@
 installed:
-- brownfield
+  - brownfield
 settings:
   auto_execute_hooks: true
 hooks:
   after_init:
-  - extension: brownfield
-    command: speckit.brownfield.scan
-    enabled: true
-    optional: true
-    priority: 10
-    prompt: Scan this existing project to customize spec-kit configuration?
-    description: Auto-scan project after spec-kit init to detect tech stack and conventions
-    condition: null
+    - extension: brownfield
+      command: speckit.brownfield.scan
+      enabled: true
+      optional: true
+      priority: 10
+      prompt: Scan this existing project to customize spec-kit configuration?
+      description: Auto-scan project after spec-kit init to detect tech stack and conventions
+      condition: null

docs/_data/werf_yaml.yml

@@ -588,23 +588,23 @@ sections:
           - name: type
             value: "string"
             description:
-              en: "Package ecosystem type (go-mod, python-uv, python-pip, python-poetry; aliases: uv, pip, poetry)"
-              ru: "Тип экосистемы пакетов (go-mod, python-uv, python-pip, python-poetry; алиасы: uv, pip, poetry)"
+              en: "Package ecosystem type (go-mod, python-uv, python-pip, python-poetry, rust-cargo; aliases: uv, pip, poetry, cargo)"
+              ru: "Тип экосистемы пакетов (go-mod, python-uv, python-pip, python-poetry, rust-cargo; алиасы: uv, pip, poetry, cargo)"
           - name: workdir
             value: "string"
             description:
-              en: "Directory inside the image that contains the manifest files (required for go-mod and python-*)"
-              ru: "Директория внутри образа, содержащая файлы манифеста (обязательно для go-mod и python-*)"
+              en: "Directory inside the image that contains the manifest files (required for go-mod, python-*, and rust-cargo)"
+              ru: "Директория внутри образа, содержащая файлы манифеста (обязательно для go-mod, python-* и rust-cargo)"
           - name: spec
             value: "string"
             description:
-              en: "Manifest file name (defaults: go.mod for go-mod, pyproject.toml for python-uv/python-poetry, requirements.txt for python-pip)"
-              ru: "Имя файла манифеста (по умолчанию: go.mod для go-mod, pyproject.toml для python-uv/python-poetry, requirements.txt для python-pip)"
+              en: "Manifest file name (defaults: go.mod for go-mod, pyproject.toml for python-uv/python-poetry, requirements.txt for python-pip, Cargo.toml for rust-cargo)"
+              ru: "Имя файла манифеста (по умолчанию: go.mod для go-mod, pyproject.toml для python-uv/python-poetry, requirements.txt для python-pip, Cargo.toml для rust-cargo)"
           - name: lock
             value: "string"
             description:
-              en: "Lock file name (defaults: go.sum for go-mod, uv.lock for python-uv, poetry.lock for python-poetry; empty for python-pip)"
-              ru: "Имя lock-файла (по умолчанию: go.sum для go-mod, uv.lock для python-uv, poetry.lock для python-poetry; пусто для python-pip)"
+              en: "Lock file name (defaults: go.sum for go-mod, uv.lock for python-uv, poetry.lock for python-poetry, Cargo.lock for rust-cargo; empty for python-pip)"
+              ru: "Имя lock-файла (по умолчанию: go.sum для go-mod, uv.lock для python-uv, poetry.lock для python-poetry, Cargo.lock для rust-cargo; пусто для python-pip)"
       - <<: *meta-section-build-cache-version
       - name: platform
         description:

docs/pages_en/usage/build/stapel/instructions.md

@@ -140,7 +140,13 @@ No limitations are imposed on assembly instructions. The suggested use of _user
 
 ## Installing binary packages
 
-The `packages` directive provides a declarative way to install binary packages with the `pm` package manager. werf installs the listed packages in a dedicated `packagesInstall` stage that runs before the `install` stage. When SBOM generation is enabled (`build.sbom.enable: true`), the installed packages — including their transitive dependencies — are recorded in the resulting image SBOM.
+The `packages` directive provides a declarative way to declare package dependencies. werf processes each entry in a dedicated `packagesInstall` stage that runs before the `install` stage. When SBOM generation is enabled (`build.sbom.enable: true`), the installed packages — including their transitive dependencies — are recorded in the resulting image SBOM.
+
+Two kinds of package sources are supported: OS package manager (`os-pm`) and file-based package ecosystems (`go-mod`, `python-uv`, `python-pip`, `python-poetry`, `rust-cargo`).
+
+### OS packages
+
+The `os-pm` type installs system packages via the `pm` package manager bundled in the builder base image:
 
 ```yaml
 image: app
@@ -152,15 +158,80 @@ packages:
       - jq
 ```
 
-The directive supports the following options:
-
-- `type` — the package source type. Only `os-pm` (the `pm` package manager) is currently supported.
-- `spec` — an inline list of package names to install. File-based package lists are not supported.
+- `type: os-pm` — selects the `pm` package manager.
+- `spec` — an inline list of package names to install.
 
 The base image must provide the `pm` binary in `$PATH` (for example, a Deckhouse builder base image labeled `io.deckhouse.internal.builder=true`). Otherwise the build fails because `pm` cannot be found.
 
 Packages installed in a parent image are inherited by images based on it via `fromImage` and remain present in the child image SBOM.
 
+### File-based package ecosystems
+
+File-based types run the ecosystem's install command inside the build container and feed the resulting lock file to syft for SBOM generation. The package manager itself must be pre-installed in the builder image.
+
+**Go modules** (`go-mod`):
+
+```yaml
+packages:
+  - type: go-mod
+    workdir: /app
+```
+
+Runs `go mod download`. Default files: `go.mod` (spec) and `go.sum` (lock).
+
+**Python — uv** (`python-uv`, alias `uv`):
+
+```yaml
+packages:
+  - type: python-uv
+    workdir: /app
+```
+
+Runs `uv sync --frozen`. Default files: `pyproject.toml` (spec) and `uv.lock` (lock).
+
+**Python — pip** (`python-pip`, alias `pip`):
+
+```yaml
+packages:
+  - type: python-pip
+    workdir: /app
+```
+
+Runs `pip install --no-cache-dir -r requirements.txt`. Default spec: `requirements.txt`. No lock file (pip has no lock semantics; the `lock` field is rejected).
+
+**Python — poetry** (`python-poetry`, alias `poetry`):
+
+```yaml
+packages:
+  - type: python-poetry
+    workdir: /app
+```
+
+Runs `poetry install --no-root`. Default files: `pyproject.toml` (spec) and `poetry.lock` (lock).
+
+**Rust — Cargo** (`rust-cargo`, alias `cargo`):
+
+```yaml
+packages:
+  - type: rust-cargo
+    workdir: /app
+```
+
+Runs `cargo fetch`. Default files: `Cargo.toml` (spec) and `Cargo.lock` (lock). syft uses the `rust-cargo-lock-cataloger` to scan the lock file.
+
+All file-based types support `workdir` (required), `spec` (optional, overrides default manifest filename), and `lock` (optional, overrides default lock filename). Multiple entries of the same or different types can be combined in one image:
+
+```yaml
+packages:
+  - type: go-mod
+    workdir: /app
+  - type: rust-cargo
+    workdir: /app/native
+  - type: os-pm
+    spec:
+      - libssl-dev
+```
+
 ## Syntax
 
 There are two mutually exclusive top-level ***builder directives*** for assembly instructions: `shell` and `ansible`. You can build an image either via ***shell instructions*** or via their ***ansible counterparts***.

docs/pages_ru/usage/build/stapel/instructions.md

@@ -153,7 +153,13 @@ shell:
 
 ## Установка бинарных пакетов
 
-Директива `packages` позволяет декларативно устанавливать бинарные пакеты с помощью пакетного менеджера `pm`. werf устанавливает перечисленные пакеты в отдельной стадии `packagesInstall`, которая выполняется до стадии `install`. Если включена генерация SBOM (`build.sbom.enable: true`), установленные пакеты — вместе с их транзитивными зависимостями — попадают в итоговый SBOM образа.
+Директива `packages` позволяет декларативно объявлять зависимости от пакетов. werf обрабатывает каждую запись в отдельной стадии `packagesInstall`, которая выполняется до стадии `install`. Если включена генерация SBOM (`build.sbom.enable: true`), установленные пакеты — вместе с их транзитивными зависимостями — попадают в итоговый SBOM образа.
+
+Поддерживаются два вида источников пакетов: менеджер системных пакетов (`os-pm`) и файловые экосистемы (`go-mod`, `python-uv`, `python-pip`, `python-poetry`, `rust-cargo`).
+
+### Системные пакеты
+
+Тип `os-pm` устанавливает системные пакеты через пакетный менеджер `pm`, входящий в состав базового образа сборщика:
 
 ```yaml
 image: app
@@ -165,15 +171,80 @@ packages:
       - jq
 ```
 
-Директива поддерживает следующие опции:
-
-- `type` — тип источника пакетов. Сейчас поддерживается только `os-pm` (пакетный менеджер `pm`).
-- `spec` — inline-список имён пакетов для установки. Списки пакетов из файла не поддерживаются.
+- `type: os-pm` — выбирает пакетный менеджер `pm`.
+- `spec` — inline-список имён пакетов для установки.
 
 Базовый образ должен предоставлять бинарь `pm` в `$PATH` (например, базовый образ Deckhouse с меткой `io.deckhouse.internal.builder=true`). Иначе сборка завершится ошибкой, так как `pm` не будет найден.
 
 Пакеты, установленные в родительском образе, наследуются образами, построенными на его основе через `fromImage`, и остаются в SBOM дочернего образа.
 
+### Файловые экосистемы пакетов
+
+Файловые типы запускают команду установки экосистемы внутри контейнера сборки и передают полученный lock-файл в syft для генерации SBOM. Пакетный менеджер должен быть предустановлен в образе сборщика.
+
+**Go-модули** (`go-mod`):
+
+```yaml
+packages:
+  - type: go-mod
+    workdir: /app
+```
+
+Выполняет `go mod download`. Файлы по умолчанию: `go.mod` (spec) и `go.sum` (lock).
+
+**Python — uv** (`python-uv`, алиас `uv`):
+
+```yaml
+packages:
+  - type: python-uv
+    workdir: /app
+```
+
+Выполняет `uv sync --frozen`. Файлы по умолчанию: `pyproject.toml` (spec) и `uv.lock` (lock).
+
+**Python — pip** (`python-pip`, алиас `pip`):
+
+```yaml
+packages:
+  - type: python-pip
+    workdir: /app
+```
+
+Выполняет `pip install --no-cache-dir -r requirements.txt`. Spec по умолчанию: `requirements.txt`. Lock-файл не поддерживается (pip не имеет семантики lock; поле `lock` отклоняется с ошибкой).
+
+**Python — poetry** (`python-poetry`, алиас `poetry`):
+
+```yaml
+packages:
+  - type: python-poetry
+    workdir: /app
+```
+
+Выполняет `poetry install --no-root`. Файлы по умолчанию: `pyproject.toml` (spec) и `poetry.lock` (lock).
+
+**Rust — Cargo** (`rust-cargo`, алиас `cargo`):
+
+```yaml
+packages:
+  - type: rust-cargo
+    workdir: /app
+```
+
+Выполняет `cargo fetch`. Файлы по умолчанию: `Cargo.toml` (spec) и `Cargo.lock` (lock). Для генерации SBOM syft использует каталогизатор `rust-cargo-lock-cataloger`.
+
+Все файловые типы поддерживают поля `workdir` (обязательно), `spec` (опционально, переопределяет имя файла манифеста) и `lock` (опционально, переопределяет имя lock-файла). В одном образе можно комбинировать несколько записей одного или разных типов:
+
+```yaml
+packages:
+  - type: go-mod
+    workdir: /app
+  - type: rust-cargo
+    workdir: /app/native
+  - type: os-pm
+    spec:
+      - libssl-dev
+```
+
 ## Синтаксис
 
 Пользовательские стадии и инструкции сборки определяются внутри двух взаимоисключающих директив — `shell` и `ansible`. Каждый образ может собираться либо используя сборочные инструкции ***shell***, либо задачи ***ansible***, описанные в соответствующих директивах.

pkg/build/stage/packages_test.go

@@ -222,6 +222,29 @@ var _ = Describe("GeneratePackagesCommands", func() {
 			},
 			{Type: config.PackagesDirectiveTypeOSPM, Spec: config.PackagesSpec{Packages: []string{"curl"}}},
 		}, []string{"cd \"/app\" && go mod download", "cd \"/lib\" && uv sync --frozen", config.ContainerFactoryVersionSnapshotCmd(), "pm install curl"}),
+
+		Entry("rust-cargo /app produces cargo fetch", []*config.PackagesDirective{
+			{Type: config.PackagesDirectiveTypeRustCargo, FileBased: config.FileBasedSpec{Workdir: "/app"}},
+		}, []string{"cd \"/app\" && cargo fetch"}),
+
+		Entry("rust-cargo /src/service produces cargo fetch", []*config.PackagesDirective{
+			{Type: config.PackagesDirectiveTypeRustCargo, FileBased: config.FileBasedSpec{Workdir: "/src/service"}},
+		}, []string{"cd \"/src/service\" && cargo fetch"}),
+
+		Entry("rust-cargo workdir with spaces is quoted", []*config.PackagesDirective{
+			{Type: config.PackagesDirectiveTypeRustCargo, FileBased: config.FileBasedSpec{Workdir: "/my app/crate"}},
+		}, []string{"cd \"/my app/crate\" && cargo fetch"}),
+
+		Entry("multiple rust-cargo entries", []*config.PackagesDirective{
+			{Type: config.PackagesDirectiveTypeRustCargo, FileBased: config.FileBasedSpec{Workdir: "/app"}},
+			{Type: config.PackagesDirectiveTypeRustCargo, FileBased: config.FileBasedSpec{Workdir: "/lib"}},
+		}, []string{"cd \"/app\" && cargo fetch", "cd \"/lib\" && cargo fetch"}),
+
+		Entry("mixed: rust-cargo + go-mod + os-pm all produce commands", []*config.PackagesDirective{
+			{Type: config.PackagesDirectiveTypeRustCargo, FileBased: config.FileBasedSpec{Workdir: "/app"}},
+			{Type: config.PackagesDirectiveTypeGoMod, FileBased: config.FileBasedSpec{Workdir: "/tools"}},
+			{Type: config.PackagesDirectiveTypeOSPM, Spec: config.PackagesSpec{Packages: []string{"libssl-dev"}}},
+		}, []string{"cd \"/app\" && cargo fetch", "cd \"/tools\" && go mod download", config.ContainerFactoryVersionSnapshotCmd(), "pm install libssl-dev"}),
 	)
 })
 

pkg/config/packages_directive.go

@@ -14,6 +14,7 @@ const (
 	PackagesDirectiveTypePythonUV     PackagesDirectiveType = "python-uv"
 	PackagesDirectiveTypePythonPip    PackagesDirectiveType = "python-pip"
 	PackagesDirectiveTypePythonPoetry PackagesDirectiveType = "python-poetry"
+	PackagesDirectiveTypeRustCargo    PackagesDirectiveType = "rust-cargo"
 )
 
 type PackagesSpec struct {
@@ -69,6 +70,14 @@ var ecosystems = map[PackagesDirectiveType]PackageEcosystem{
 		InstallCmd:    func(workdir, _ string) string { return fmt.Sprintf("cd %q && poetry install --no-root", workdir) },
 		CatalogerName: "python-package-cataloger",
 	},
+	PackagesDirectiveTypeRustCargo: {
+		Type:          PackagesDirectiveTypeRustCargo,
+		Aliases:       []string{"cargo"},
+		DefaultSpec:   "Cargo.toml",
+		DefaultLock:   "Cargo.lock",
+		InstallCmd:    func(workdir, _ string) string { return fmt.Sprintf("cd %q && cargo fetch", workdir) },
+		CatalogerName: "rust-cargo-lock-cataloger",
+	},
 }
 
 var aliasToType = func() map[string]PackagesDirectiveType {