用途：当收到 CycloneDX 或 SPDX 格式的 SBOM 需要审查、评估供应商或内部应用的软件供应链风险、解读 VEX 文档判断漏洞实际可利用性、为合规（如 EO 14028、EU CRA）评估 SBOM 完整性，或对传递依赖做已知漏洞分析时使用。不适用于无 SBOM 上下文的单一 CVE 分诊、运行时漏洞扫描或源码安全审查。
主要能力：识别 SBOM 格式与版本（CycloneDX 1.5、SPDX 2.3）并校验结构；按 NTIA 七项最低要素（供应商名称、组件名称、版本、唯一标识符、依赖关系、SBOM 作者、时间戳）逐组件评估完整性并给出 Complete/Substantially Complete/Partial/Incomplete 评级；解读 VEX 的 Not Affected、Affected、Fixed、Under Investigation 四种状态及 Not Affected 的五类理由；构建依赖图，分析依赖深度、孤儿组件、高扇入组件、陈旧依赖并交叉比对 NVD、OSV、GitHub Advisory Database；按宽松、弱著佐权、强著佐权、专有、未知分类许可证并检测冲突。
使用方式：需先收集 SBOM 文件、格式版本、VEX 文档、软件标识、使用场景、合规要求、许可证政策与漏洞数据源。流程为识别解析格式、NTIA 完整性检查、VEX 状态解读、传递依赖分析、许可证冲突检测，最后按固定章节输出报告（执行摘要、SBOM 概览、NTIA 合规表、VEX 摘要、依赖风险、许可证分析、总体评级与建议）。
限制：许可证冲突与风险决策需人工复核；评级阈值与风险指标为资料给出的参考标准，实际结论依赖输入数据质量；未提供具体安装命令或自动化脚本。