概览
软件成分分析识别并管理您软件中的开源和第三方组件。它盘点直接和传递依赖项，标记已知漏洞以及存在风险或不兼容的许可证，并生成 CycloneDX 或 SPDX 等标准格式的软件物料清单（Software Bill of Materials）。它让团队清晰掌握所依赖的开源软件，持续跟踪依赖项并尽早识别漏洞。SCA 还支持许可证合规管理，帮助组织在整个开发周期中履行其义务。
方法论与标准
CycloneDX 和 SPDX SBOM 格式、NVD/OSV 漏洞匹配、OWASP Dependency-Track 概念以及 OWASP A06（易受攻击和过时的组件）。该流程涵盖代码库分析与 SBOM 生成、组件识别、漏洞检测以及策略合规验证。
包含内容
直接和传递依赖项的完整清单
按可利用性排序的 CVE 结果
许可证风险分析（copyleft 和不兼容许可证）
依赖项清单与版本映射
对 OSS 组件中漏洞的检测
许可证合规审查
SBOM 生成
您将获得
CycloneDX 或 SPDX 格式的 SBOM
按优先级排序的升级与修复路线图
可选的 CI/CD 集成建议
面向管理层的报告
对齐 OWASP高管报告整改指导包含复测鉴证函杜绝扫描器堆砌
常见问题
渗透测试攻击您正在运行的应用；SCA 则盘点其中包含的第三方代码，并标记已知易受攻击的依赖项以及许可证风险。两者相辅相成。
可以。我们生成涵盖直接和传递依赖项的、机器可读的 CycloneDX 或 SPDX 格式 SBOM，这正是企业采购方和 EU CRA 越来越多要求的内容。
SCA 帮助组织识别易受攻击的开源组件、管理许可证义务、提升软件质量，并在整个开发周期中保持对第三方依赖项的可见性。