目录 / software-composition-analysis
SKILL
未评级
已上架
software-composition-analysis
用于软件成分分析（SCA）：分析应用程序引入的开源和第三方依赖项，发现其中的已知漏洞，并对这些依赖项进行清点及许可证检查。涵盖直接依赖与传递性依赖、基于咨询数据库的已知漏洞检测、在依赖上下文中读取 CVE 和 CVSS 信息、可达性分析以减少误报、依赖项更新与修复策略、应用程序 SBOM（CycloneDX、SPDX、SWID）及其生成与使用方式，以及开源许可证类型及其合规风险。触发词包括：“SCA”、“软件成分分析”、“开源安全”、“开源漏洞”、“依赖项扫描”、“传递性依赖”、“易受攻击的依赖项”、“依赖项更新”、“SBOM”、“软件物料清单”、“CycloneDX”、“SPDX”、“许可证合规”、“copyleft”、“可达性分析”、“供应链”。不适用于：厂商中立的 AppSec 战略及 SCA 在 SAST/DAST/WAF 中的定位（参见 application-security）；漏洞管理项目设计、CVSS/EPSS 评分及修复 SLA（参见 vulnerability-management）；单次 CVE 查询或 NVD 检索（参见 nvd-cve）；容器镜像供应链、镜像层 SBOM、SLSA 来源证明、cosign/Sigstore 签名及准入控制（参见 container-security）。参考文档：dependency-and-vulnerability.md、sbom-and-licence.md。
模型生成摘要（rules/v1 · 2026-11-15 08:32）：用于软件成分分析（SCA）：分析应用程序引入的开源和第三方依赖项，发现其中的已知漏洞，并对这些依赖项进行清点及许可证检查
这是模型对公开材料的总结，不是官方声明，请以原链内容为准。
这是模型对公开材料的总结，不是官方声明，请以原链内容为准。
存档时间线
| 版本 | 存档时间 | 内容哈希 | 内容 |
|---|---|---|---|
| v1 | 2026-11-15 08:31 | e077081e | 可取 |
版本索引永久保留；内容副本只保留最新 1 份，更早版本仅留索引与哈希（存档时间线的证据链不会因此断裂）。
纠错与举报（发现条目失效、署名有误或涉及侵权？）
提交举报 / 纠错
侵权举报经核验成立后，我们会即时下线该条目并删除已存的内容副本。