用途：在 Linux 主机上做只读的基准与合规扫描。OpenSCAP 对 CIS、STIG、PCI-DSS、HIPAA 等正式基准给出逐条通过/失败结果，并可生成修复草案；Lynis 提供快速加固扫描，输出加固指数与按优先级的建议。两者互补：OpenSCAP 用于审计证据，Lynis 用于快速改进项。
主要能力：按发行版选择匹配的 SSG 数据流与配置文件；列出配置文件；运行评估并保留 results.xml（审计线索）与 report.html（可读报告）；从扫描结果生成 bash 或 Ansible 修复草案；Lynis 的 audit system 扫描与 CI/cron 用法。
使用方式：RHEL 系执行 dnf install openscap-scanner scap-security-guide，Debian/Ubuntu 执行 apt install openscap-scanner ssg-debderived；用 oscap info <ds.xml> 列出配置文件；用 oscap xccdf eval --profile <ID> --results results.xml --report report.html <ds.xml> 评估；用 oscap xccdf generate fix --fix-type bash|ansible 生成修复草案；Lynis 用 apt install lynis 或 dnf install lynis（RHEL 系需 EPEL），运行 lynis audit system。
适用与限制：默认只读，包安装、执行生成的修复、Ansible 应用、服务变更与 --remediate 都需要明确授权并在测试主机进行。数据流必须与发行版大版本精确匹配，否则应报告覆盖缺口而非替换其他版本；未评估的规则不得视为通过；本地扫描不等于认证；Lynis 指数只是方向性分数，不是基准合规证据。