artifact-sbom-publisher

用途：该技能围绕构建产物（artifact）的发布与供应链安全元数据展开，帮助在 CI 流程中同步产出软件物料清单（SBOM）、构建溯源和产物元数据，服务安全与合规需求。主要能力：构建并上传产物；使用 CycloneDX 与 Syft 生成 SBOM（SPDX 与 CycloneDX 两种格式）；为 Docker 镜像生成 SBOM；借助 Trivy 或 anchore 扫描 SBOM 中的漏洞；通过 actions/attest-build-provenance 与 actions/attest 生成 SLSA 构建溯源与产物证明；生成包含版本、提交、分支、构建时间、构建者等的 artifact-metadata.json；在 release 事件中打包并上传发布资产。使用方式：以 GitHub Actions 工作流为例，先 checkout、setup-node、安装依赖并构建，再用 actions/upload-artifact 上传产物；SBOM 可用 CycloneDX/gh-node-module-generatebom 或 curl 安装 Syft 后执行 syft . -o spdx-json 与 -o cyclonedx-json；镜像可配合 docker/build-push-action 的 sbom 与 provenance 选项，并用 syft 生成镜像 SBOM；漏洞扫描可结合 anchore/scan-action 或 aquasecurity/trivy-action，结果以 SARIF 上传。适用场景：需要在发布环节提供 SBOM、漏洞扫描结果、构建溯源与产物证明的团队与合规流程。限制：资料为示例性工作流片段，未提供具体版本兼容性、运行环境要求、收费或平台支持范围；部分能力依赖第三方 Action，需自行确认可用性；Retention 与签名策略需按实际合规要求设定。