dependency-track

Dependency-Track 是一个开源的软件成分分析（SCA）平台，用于识别和管理软件供应链中的安全风险。它基于软件物料清单（SBOM）标准（如CycloneDX、SPDX），自动关联CVE/NVD、OSS Index等漏洞数据库，提供组件级漏洞检测、许可证合规性分析、依赖关系可视化及风险趋势评估。支持与CI/CD流水线集成，具备REST API、Docker容器化部署和多租户管理能力。适用于DevSecOps实践、企业级应用安全治理、第三方组件风险管理及合规审计等场景。