用途：OWASP Depscan 面向依赖项的深度软件成分分析（SCA），适合生成漏洞披露报告（VDR）、软件物料清单（SBOM）、CSAF 2.0 VEX 文档，以及许可证合规审计和供应链安全风险评估。它比 OSV-Scanner 更全面，可与 CDXGen、Semgrep、CodeQL、SARIF Issue Reporter 配合使用。
主要能力：支持 npm、Python、Go、Rust、Java/Maven、Gradle、Ruby、PHP、.NET、Dart、Swift 等生态的清单与锁文件；可输出 SARIF、JSON、HTML 报告，支持 sarif-critical 模板；可生成 CycloneDX SBOM、VDR 和 VEX；提供风险评分（基于严重性、CVSS、可利用性、攻击复杂度、包流行度、维护状态）和许可证扫描，并可在许可证违规时使构建失败。
使用方式：安装可用 pipx install owasp-depscan、pip install owasp-depscan 或 Docker 镜像 ghcr.io/owasp-dep-scan/dep-scan:latest。基本扫描命令为 depscan --src .；生成报告可加 --reports-dir ./reports --report-template sarif,json,html；生成 SBOM 用 --type bom 或 --type sbom-vdr；生成 VEX 用 --vex；风险审计用 --risk-audit；许可证审计用 --license-scan。也可通过 --bom 复用已有 SBOM，或用 --config depscan.toml 读取配置。
适用场景：CI/CD 集成（如 GitHub Actions 上传 SARIF 与 SBOM）、SBOM+VDR 工作流、许可证合规检查、容器镜像文件系统分析、修复优先级排序与复扫验证。
限制：分析较深，速度慢于 OSV-Scanner；默认需要联网访问漏洞数据库（可用 --offline）；大型项目内存占用较高；风险评分启发式可能高估或低估；仅扫描公开漏洞数据库，不覆盖私有包；不适用于应用代码漏洞扫描、密钥检测、IaC 安全分析或 API 端点发现。