用途：为软件与容器镜像建立机器可读的组件清单（SBOM），并持续检测已知漏洞，满足供应链安全与合规要求。
主要能力：Syft 从镜像或目录生成 CycloneDX（安全导向）与 SPDX（许可与来源导向）格式 SBOM；Grype 对 SBOM 或镜像匹配漏洞库找出 CVE；Cosign 将 SBOM 作为签名证明附加到镜像，实现防篡改溯源。
使用方式：安装 Syft、Grype 与 Cosign 后，用 syft 生成 SBOM，例如 syft alpine:latest -o cyclonedx-json=alpine.cdx.json，或 syft dir:. -o spdx-json=app.spdx.json；用 grype sbom:app.cdx.json -o table 扫描，--fail-on high 可在 CI 中按严重度阻断；用 cosign attest 附加证明，cosign verify-attestation 验证，cosign download attestation 取回后重新扫描。
适用场景：组件清单维护、持续漏洞检测、采购与法规 SBOM 要求、下游供应链信任。
限制：仅限对自有或获授权评估的软件与镜像操作；SBOM 属敏感清单数据，会暴露依赖攻击面。具体收费、价格与平台支持暂未提供。