用途：在CI/CD中建立覆盖容器、源代码、依赖与运行中应用的多层漏洞检测和修复流程，并生成SBOM、按风险排序漏洞、设置安全门禁。
主要能力：支持容器镜像扫描、SAST、DAST、SCA与密钥扫描五类层；工具选择包括容器用Trivy或Grype，源码用Semgrep或Snyk Code，运行应用用OWASP ZAP或StackHawk，依赖用Dependabot或Renovate，密钥用Gitleaks或GitGuardian。支持生成CycloneDX（偏安全）与SPDX（偏合规）SBOM，例如 trivy image --format cyclonedx --output sbom.json myapp:latest、syft myapp:latest -o cyclonedx-json=sbom.json。
优先级与门禁：结合CVSS、EPSS、KEV、资产重要性和暴露度计算优先级，并分P0-P4设定SLA（24小时、7天、30天、90天等）；在预提交、PR、构建、预部署、生产各阶段设置不同阈值和动作。使用Trivy时可配置 .trivy.yaml 和 .trivyignore 忽略误报，并可用 --exit-code 1 --severity CRITICAL 在CI中阻断构建。
适用场景：DevSecOps自动化、合规SBOM交付、法规要求（如行政令14028）、容器部署前扫描、密钥检测与安全门禁。限制：部分工具为商业或企业版，具体收费、价格、部署条件、平台支持和实际效果资料暂未提供；示例命令与阈值需按自身环境调整。