feat(devsecops): generar SBOM (Syft) de la imagen del frontend

Corre después del gate de CRITICAL de Trivy, sobre la imagen ya
construida. Genera CycloneDX y SPDX, publicados como artifact
sbom-v1.0.X en cada build.

Validado contra la imagen real: 3528 componentes CycloneDX / 228
paquetes SPDX. Documenta en docs/devsecops/sbom.md el propósito
(trazabilidad tipo "log4shell"), diferencia entre formatos, y un
hallazgo real (yarn empaquetado sin usarse, mismo patrón que el npm
sacado en el fix de Trivy).

.gitea/workflows/build.yaml

@@ -349,6 +349,40 @@ for r in results:
             --ignore-unfixed \
             "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"
 
+      # SBOM de la imagen que ya pasó el gate de CRITICAL — describe
+      # exactamente qué paquetes (y en qué versión) quedaron adentro.
+      # CycloneDX: formato más usado por herramientas de consulta/alertas
+      # de CVEs (ej. cruzar el SBOM contra un aviso nuevo tipo log4shell).
+      - name: Instalar Syft
+        shell: bash
+        run: |
+          set -euo pipefail
+          SYFT_VERSION="1.51.0"
+          curl -sSfL \
+            "https://github.com/anchore/syft/releases/download/v${SYFT_VERSION}/syft_${SYFT_VERSION}_linux_amd64.tar.gz" \
+            -o /tmp/syft.tar.gz
+          tar -xzf /tmp/syft.tar.gz -C /tmp syft
+          chmod +x /tmp/syft
+          /tmp/syft version
+
+      - name: Generar SBOM (Syft)
+        shell: bash
+        run: |
+          set -euo pipefail
+          /tmp/syft "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}" \
+            -o cyclonedx-json=sbom.cdx.json \
+            -o spdx-json=sbom.spdx.json
+
+      - name: Publicar SBOM
+        if: always()
+        uses: actions/upload-artifact@v3
+        with:
+          name: sbom-${{ steps.vars.outputs.VERSION }}
+          path: |
+            sbom.cdx.json
+            sbom.spdx.json
+          if-no-files-found: ignore
+
       # Login ya se hizo arriba; recién acá se sube, después de que la
       # imagen pasó el gate de CRITICAL.
       - name: Subir Imagen al Registry