用途：OSV-Scanner 由 Google 开发，用于依赖项漏洞扫描与软件成分分析（SCA），适用于依赖漏洞扫描、许可证合规检查、SBOM 分析、容器镜像漏洞扫描、供应链安全评估，以及 CI/CD 依赖安全门禁。它针对依赖清单和锁文件，不用于应用代码漏洞扫描、密钥检测、IaC 安全分析或 API 端点发现。
主要能力：支持 npm、Python、Go、Rust、Java/Maven、Ruby、PHP、.NET、Pub、CocoaPods 等生态的清单与锁文件；可通过 --sbom 扫描 CycloneDX/SPDX SBOM，通过 --docker 扫描容器镜像；输出 table、json、sarif、markdown、vertical 等格式；支持 --fail-on-vuln 与自定义退出码、离线数据库、实验性调用分析与许可证扫描；提供 osv-scanner.toml 配置以忽略特定漏洞或包。
使用方式：安装可用 go install github.com/google/osv-scanner/cmd/osv-scanner@latest、brew install osv-scanner，或下载二进制、拉取 Docker 镜像 ghcr.io/google/osv-scanner:latest。常用命令如 osv-scanner scan .、osv-scanner scan --lockfile package-lock.json、osv-scanner scan --sbom sbom.json、osv-scanner scan --format sarif /path/to/project > results.sarif，也可通过 google/osv-scanner-action@v2 集成 GitHub Actions。
限制：可能无法覆盖全部传递依赖；仅扫描公开漏洞数据库，不覆盖私有包与专有代码；未启用实验性标志时不验证漏洞代码是否被实际调用；仅能检测已公开披露的漏洞，无法发现零日漏洞。具体版本、收费与最新参数暂未提供。