用途：本技能用于系统化组织漏洞扫描相关工作，覆盖静态应用安全测试（SAST）、动态应用安全测试（DAST）、软件成分分析（SCA）、容器安全扫描与依赖漏洞管理，帮助理解各类扫描方法的原理、适用对象与常见工具。
主要能力：SAST 在不运行应用的情况下分析源代码、字节码或二进制文件，涉及模式匹配、数据流分析、控制流分析、污点分析与语义分析，可发现注入、XSS、认证、授权、加密、输入验证与错误处理等问题；常用工具包括 SonarQube、Checkmarx、Fortify、Semgrep、CodeQL、Bandit、ESLint 安全插件与 SpotBugs。DAST 针对运行中的应用进行外部测试，涉及爬虫、模糊测试、认证与会话测试、输入验证及业务逻辑测试，工具包括 OWASP ZAP、Burp Suite、AppScan、Nessus、Arachni、SQLMap 与 Nikto。SCA 分析第三方组件与依赖，涉及依赖分析、漏洞匹配、许可证合规、版本分析与风险评分，参考 NVD、CVE、GitHub Advisory Database、Snyk 与 OSS Index 等数据库，工具包括 Snyk、Trivy、Dependabot、WhiteSource、Black Duck、OWASP Dependency-Check、npm audit 与 pip-audit。容器扫描关注基础镜像、应用依赖、配置、镜像内密钥与过期包，工具包括 Trivy、Clair、Anchore、Aqua Security、Twistlock、Docker Scout 与 Grype。此外还涵盖 SBOM（SPDX、CycloneDX、SWID）与供应链安全，如包完整性、来源追踪、签名制品、依赖固定、私有仓库与可复现构建。
使用方式：资料未提供具体安装命令或调用步骤，仅列出工具名称、能力与集成方向（CI/CD、IDE、仓库、Kubernetes 等），实际用法需参考各工具官方文档。
适用场景：适用于 DevSecOps 流程设计、CI/CD 安全集成、容器与镜像安全、开源依赖治理、渗透测试辅助与安全工具选型。
限制：资料未提供收费、价格、平台支持范围或效果数据；未给出该技能本身的调用接口与执行方式。工具能力以概述形式描述，具体版本、规则集与准确性需以实际工具为准，并需注意误报管理与漏洞优先级判定。