JFrog Xray 是一款企业级软件组成分析（SCA）工具，旨在帮助组织识别、优先级排序并修复开源软件（OSS）和第三方组件中的安全漏洞与许可证合规问题。它支持在整个软件开发生命周期（SDLC）中持续扫描仓库、构建包和容器镜像，让开发者能够从一开始就发现并修复安全与合规问题。
主要能力：
- 开源风险检测与修复：持续扫描仓库、构建包和容器镜像，及早发现安全威胁，减少风险、加速修复并节省成本。
- 开发者体验：与开发工具无缝集成，对构建时间影响小；可在 IDE/CLI 中直接查看存在漏洞的依赖及修复选项和上下文；通过 JFrog CLI 实现依赖、容器和按需扫描的流水线自动化。
- 许可证合规：通过自动生成的软件物料清单（SBOM）全面了解直接和间接依赖，在生产环境暴露问题前发现并解决开源许可证问题，可创建策略执行法规要求并生成所有 OSS 许可证的合规报告。
- 运营风险管理：获取 OSS 组件的额外数据以评估运营风险，可根据版本年龄、贡献者数量、维护频率、提交次数和生命周期结束等风险因素创建自定义策略来阻止包。
- CVE 研究与丰富：依托 JFrog 专门的安全研究团队提供深入的 CVE 发现和漏洞数据，帮助理解实际风险、优先处理高危 CVE 并加速修复。
- 恶意包检测：利用 JFrog 超过 400 万个 OSS 包的扩展数据库（来源于公开公告和 JFrog 安全研究团队）自动发现并消除恶意包和组件，提供可操作的即时缓解和修复步骤。
- JFrog Threat Hub：提供漏洞及其对环境中软件制品影响的全面详细视图，通过清晰的可见性和控制减少修复时间。
使用方式与集成： Xray 是 JFrog 平台的核心组件（与 Artifactory 并列），与 Artifactory 无缝集成并共享大量元数据。它可扫描上传到 Artifactory 的镜像和构建产物，并捕获构建过程元数据（build info）以进一步分析。Xray 支持通过 CI 流水线（如 GitHub、Jenkins、Azure）中的步骤自动检测安全漏洞和合规问题。插件支持 VS Code、IntelliJ、Visual Studio、PyCharm 等主流 IDE。支持多个策略并应用于多个仓库。数据库更新通常每天自动进行一次，安全事件期间会加速更新。
适用场景： 适用于希望在 DevOps 流水线中实现安全与合规扫描的团队，尤其是在软件供应链安全、开源依赖治理、容器镜像扫描、许可证合规管理和恶意包检测方面有需求的组织。
限制与说明： Xray 支持超过 25 种包类型和技术，包括 Docker、Maven、PyPI、npm 和 NuGet 等。作为 SaaS 提供时具有 99.99% 正常运行时间 SLA；自管理时可部署为高可用集群。Xray 已包含在 Pro X、Enterprise X 或 Enterprise+ 订阅中。关于具体定价、部署要求等更多细节，资料暂未提供。