技能介绍

解决什么问题

在软件交付链路中，依赖项的爆炸式增长让安全团队难以回答一个基本问题：我们的应用里到底装了什么？传统的 package.json、requirements.txt 或 go.mod 只能反映直接声明，却无法覆盖传递依赖、容器镜像中的系统包，以及发布产物中嵌入的第三方组件。当新的 CVE 漏洞曝光时，排查受影响组件往往依赖人工比对，耗时且容易遗漏。

核心能力与工作流程

本技能通过 cdxgen 和 Syft 双引擎生成符合 CycloneDX 规范的 SBOM，并利用 OSV.dev API 对常见包生态系统进行已知漏洞匹配。

多源输入支持：可直接从本地目录、Git 仓库 URL、Package URL (purl) 或容器镜像清单生成 BOM。
运行时覆盖：针对 JavaScript、TypeScript、Python、Java、PHP 等项目，支持 node、deno 或 bun 运行时的容器镜像，默认环境基于 Node.js 23。
证据与审计：在 --profile appsec 模式下，技能会收集构建与运行证据（Evidence），并执行 BOM 审计规则，识别许可证冲突、过时组件及可被下游 SAST/DAST 工具消费的结构化输出。
漏洞扫描闭环：生成的 BOM 自动关联 OSV.dev 数据库，扫描 npm、pip 和 go 模块中的已知 CVE，直接标记风险。

适用边界与注意点

SaaSBOM 限制：对于 SaaS 场景，技能主要覆盖前端项目；纯微服务或基础设施即代码（IaC）场景需配合额外的扫描工具。
数据时效性：漏洞情报依赖 OSV.dev API 的实时更新，若环境离线，需配置本地数据库镜像以保证结果一致性。
性能开销：在大型 monorepo 或包含大量原生扩展的项目中，生成完整 BOM 并进行漏洞匹配可能占用较多内存，建议在 CI 流水线中配置合理的超时与资源限额。