sbom

用于从容器镜像和文件系统生成软件材料清单（SBOM）的 CLI 工具和库。

Dependency-Track 是一个智能组件分析平台，协助组织识别并降低软件供应链风险

扫描器，用于检测已知漏洞的 JavaScript 函式库使用情况。亦可生成发现函式库的 SBOM。

EMBA - 固件安全分析器

:mag: ScanCode 通过“扫描代码”来检测授权、版权、依赖项……以发现并盘点代码中使用的开源与第三方软件包。由 NLnet、Google Summer of Code、Azure 点数、nexB 及其他慷慨赞助商赞助！

一组用于自动化软件合规性检查的工具。

SBOM 工具是一个高度可扩展且企业级就绪的工具，可为任何类型的构件创建兼容 SPDX 2.2 的 SBOM。

适用于 Kubernetes 的气隙（Airgap）原生包管理器

CVE 漏洞二进制工具可协助您判断系统是否包含已知漏洞。您可以扫描二进制文件以检查超过 350 个常见且有漏洞的组件（例如 openssl、libpng、libxml2、expat 等），或者如果您知道所使用的组件，则可以获取与 SBOM 或组件及版本列表相关的已知漏洞列表。

GUAC 将软件安全元数据（metadata）聚合至高精度的图形数据库中。

HummerRisk 是云原生安全平台，包括混合云安全治理和云原生安全检测。

LunaSec - 依赖性安全性扫描器，可在你的 Pull Requests 与构建中自动通知漏洞（如 Log4Shell 或 node-ipc）。透过 LunaTrace GitHub App 在 30 秒内保护你的项目：https://github.com/marketplace/lunatrace-by-lunasec/

OWASP dep-scan 是一个基于已知漏洞、安全公告与项目依赖项许可限制的新一代安全与风险审计工具。支持本地仓库与容器镜像作为输入，非常适合集成使用。

OpenSCA 是一个开源的软件供应链安全解决方案，支持开源依赖项、漏洞以及许可证合规性检测，其准确度在社区中备受关注。

purl（即“几乎通用”的软件包 URL）的最小规范，请至 https://gitter.im/package-url/Lobby 参与讨论

为您的项目从源代码和容器镜像创建 CycloneDX 物料清单 (BOM)。支持多种编程语言和包管理工具。可集成至 CI/CD 流水线并自动提交至 Dependency Track 服务器。

Tern 是一个软件组成分析工具与 Python 库，可为容器镜像与 Dockerfile 生成软件物料清单（SBOM）。Tern 生成的 SBOM 能以人类可读、JSON、HTML、SPDX 等多种格式，提供容器内部的逐层检视。

使生产环境的 Rust 二进制文件可被审计

Panthera(P.)uncia - Subdomain Center 与 Exploit Observer 的官方 CLI 工具。

扫描软件物料清单 (SBOM) 以寻找安全漏洞

将机器上的所有套件快照至单一文件，并可在新机器上还原

精选的 SBOM（软件物料清单）相关工具、框架、博客、Podcast 与文章清单

这是 https://codeberg.org/fsfe/reuse-tool 的镜像。

用于软件供应链证明、SBOM、VEX、SARIF、QA 报告等的 SDLC 证据存储与策略引擎。

扫描您的项目以判断所使用的组件

OWASP CycloneDX 是一个全栈物料清单 (BOM) 标准，为降低网络风险提供进阶供应链功能。支持 SBOM、SaaSBOM、HBOM、AI/ML-BOM、CBOM、OBOM、MBOM、VDR 与 VEX

用于 SBOM 分析、合并、差异比对与格式转换的 CycloneDX CLI 工具。