用途：管理软件物料清单（SBOM），支持导出、导入、分析、比较与校验，覆盖 CycloneDX 和 SPDX 两种格式。
主要能力：export 从当前项目生成 SBOM；import 导入并分析外部 SBOM；analyze 分析项目组件清单；compare 比较两个 SBOM 以检测漂移；validate 检查 SBOM 格式合规性。
使用方式：导出前先用 get_resource MCP 工具（resource_type: Project，name: 项目/仓库名）获取 UUID，若未找到则建议先运行 /endor-scan。导出命令示例：
CycloneDX（推荐）
npx -y endorctl sbom export --project-uuid {uuid} --format cyclonedx --output sbom-cyclonedx.json
SPDX
npx -y endorctl sbom export --project-uuid {uuid} --format spdx --output sbom-spdx.json 导出后展示格式、文件路径、项目名、按类型（库/框架/应用/总计）的组件数量、带版本与许可证的顶层依赖，以及 NTIA 合规检查项（组件名、版本、唯一 ID、依赖关系、作者信息、时间戳）。分析操作需先运行 /endor-scan，再查询发现项与依赖，展示按类别（直接/传递/开发）的组件数量及漏洞与许可证风险数、漏洞覆盖情况（含 CVE 的组件、严重/高危数量、可达数量）、许可证分布与风险等级。比较操作展示新增/移除/更新的包及版本、安全影响（新引入漏洞、已解决漏洞、净变化）、许可证影响。校验操作检查格式有效性、NTIA 最低要素、组件完整性与依赖关系。
适用场景：生成 SBOM、导入分析外部 SBOM、组件清单盘点、SBOM 漂移检测与合规校验。
限制与错误处理：项目未找到时先运行 /endor-scan；认证错误时运行 /endor-setup；SBOM 格式无效时展示校验错误并建议修正。数据源策略见 references/data-sources.md。后续可衔接 /endor-scan、/endor-license、/endor-cicd。