用途：该技能提供软件物料清单（SBOM）创建、维护与供应链安全的系统性指导，适用于软件发布时生成 SBOM、响应客户 SBOM 请求、跟踪组件与依赖、落实供应链安全及满足监管（美国行政令 14028、欧盟 CRA）。
主要能力：
- 解释 SBOM 基本概念与 NTIA 最低元素（供应商名、组件名、版本、唯一标识符如 PURL/CPE、依赖关系、SBOM 作者、时间戳）。
- 对比 CycloneDX（安全导向、支持 VEX）、SPDX（许可证导向、ISO 标准）、SWID（软件标识）三种格式及适用场景。
- 描述 .NET 下用 CycloneDX 工具生成 SBOM 的命令，如 dotnet tool install --global CycloneDX；dotnet CycloneDX MyApp.sln -o sbom.json -j；可加 --include-dev、-r，并支持集成到 MSBuild 构建。
- 说明 VEX 漏洞可利用性交换文档结构及状态含义：exploitable、in_triage、not_affected、resolved。
- 涵盖 SLSA 供应链等级 1-4、包签名与哈希校验、依赖锁定、CI/CD 集成（GitHub Actions 生成、签名、上传、grype 扫描、attest-sbom 证明）、SBOM 分发渠道与容器集成。
- 提供 SBOM 检查清单（生成、质量、分发）与监管要求概述。
使用方式：以 .NET 项目为例，通过全局安装 CycloneDX 工具生成 JSON 清单，可在 Directory.Build.props 中开启 GenerateSBOM，或加入 CI 在发布时生成、签名并上传。也可用代码模型 CycloneDX.Models 程序化构建 Bom。SPDX、SWID 的具体命令资料未提供。
适用场景：软件发布与制品归档、客户与审计合规、依赖与漏洞跟踪、容器镜像供应链、ML 模型 SBOM 治理（交叉引用 ai-governance）。
限制：资料主要围绕 .NET 与 CycloneDX，其他语言生态的具体生成方式未提供；签名工具示例提及 cosign，但配置细节未提供；价格、平台支持范围、实际检测效果等未提供。