现代应用大量依赖开源组件，Log4Shell 等事件表明，快速定位受影响组件的能力至关重要。软件物料清单（SBOM）是供应链安全的基础设施。
一、SBOM 标准格式
- SPDX：Linux 基金会主导，覆盖面广
- CycloneDX：OWASP 主导，轻量且专注安全场景
二、生成与消费 SBOM
bash
# 使用 Syft 为镜像生成 SBOM
syft myapp:latest -o cyclonedx-json > sbom.json
# 使用 Grype 基于 SBOM 扫描漏洞
grype sbom:sbom.json将 SBOM 生成嵌入 CI/CD 流水线，并在制品仓库中持久保存，可在新漏洞披露时快速检索受影响的服务与版本，大幅缩短应急响应时间。 ```