spdx

用于从容器镜像和文件系统生成软件材料清单（SBOM）的 CLI 工具和库。

:mag: ScanCode 通过“扫描代码”来检测授权、版权、依赖项……以发现并盘点代码中使用的开源与第三方软件包。由 NLnet、Google Summer of Code、Azure 点数、nexB 及其他慷慨赞助商赞助！

一组用于自动化软件合规性检查的工具。

GUAC 将软件安全元数据（metadata）聚合至高精度的图形数据库中。

OpenSCA 是一个开源的软件供应链安全解决方案，支持开源依赖项、漏洞以及许可证合规性检测，其准确度在社区中备受关注。

purl（即“几乎通用”的软件包 URL）的最小规范，请至 https://gitter.im/package-url/Lobby 参与讨论

为您的项目从源代码和容器镜像创建 CycloneDX 物料清单 (BOM)。支持多种编程语言和包管理工具。可集成至 CI/CD 流水线并自动提交至 Dependency Track 服务器。

FOSSology 是一个开源授权合规软件系统与工具包。作为工具包，你可以从命令行执行授权、版权与导出控制扫描。作为系统，它提供数据库与 Web UI 来支持合规工作流程。授权、版权与导出扫描器是工作流程中使用的工具。

Tern 是一个软件组成分析工具与 Python 库，可为容器镜像与 Dockerfile 生成软件物料清单（SBOM）。Tern 生成的 SBOM 能以人类可读、JSON、HTML、SPDX 等多种格式，提供容器内部的逐层检视。

用于生成 Crate 所有许可证清单的 Cargo 插件

SPDX License List 的各种数据格式，包含 RDFa、HTML、Text 与 JSON

扫描软件物料清单 (SBOM) 以寻找安全漏洞

将机器上的所有套件快照至单一文件，并可在新机器上还原

这是 https://codeberg.org/fsfe/reuse-tool 的镜像。

用于软件供应链证明、SBOM、VEX、SARIF、QA 报告等的 SDLC 证据存储与策略引擎。

OWASP CycloneDX 是一个全栈物料清单 (BOM) 标准，为降低网络风险提供进阶供应链功能。支持 SBOM、SaaSBOM、HBOM、AI/ML-BOM、CBOM、OBOM、MBOM、VDR 与 VEX

用于 SBOM 分析、合并、差异比对与格式转换的 CycloneDX CLI 工具。