用途：作为安全工程师执行软件成分分析（SCA），使用 Google 的 OSV-Scanner 检测项目依赖中的已知漏洞。适用于检查依赖漏洞、执行 SCA 或审计第三方库，覆盖主流包生态。
前提条件：需先安装 OSV-Scanner，可用 go install github.com/google/osv-scanner/cmd/osv-scanner@latest 或下载二进制文件，并用 osv-scanner --version 验证。
使用方式：先确定目标项目目录或特定锁文件，再运行扫描。递归扫描目录：osv-scanner -r --json <target-directory> > osv-results.json；扫描特定锁文件：osv-scanner --lockfile=package-lock.json --json；SBOM 输入：osv-scanner --sbom=sbom.json --json；跳过 git 扫描：osv-scanner -r --skip-git --json <directory>。随后解析 JSON 输出，按表格呈现 OSV ID、严重级别、包名、已安装版本、修复版本、摘要与生态，并汇总扫描依赖总数与漏洞数，优先列出严重/高危项，给出各漏洞包的升级命令及 OSV 公告链接。
支持的锁文件：npm 的 package-lock.json、yarn.lock、pnpm-lock.yaml；Python 的 requirements.txt、Pipfile.lock、poetry.lock；Go 的 go.sum；Rust 的 Cargo.lock；Java 的 pom.xml、gradle.lockfile；.NET 的 packages.lock.json；Ruby 的 Gemfile.lock；PHP 的 composer.lock。
限制：资料未提供扫描性能、误报率、离线使用、私有仓库或认证配置等细节，暂未提供。