syft

Syft 是一个用于从容器镜像和文件系统生成软件物料清单（SBOM）的命令行工具与 Go 语言库。它支持 OCI、Docker 等多种镜像格式及本地文件系统扫描，覆盖数十种软件包生态系统（如 RPM、dpkg、npm、pip、Maven 等），并输出 CycloneDX、SPDX 等标准 SBOM 格式，还可生成 in-toto 签名的可信 attestations。项目轻量高效，常与漏洞扫描器 Grype 配合使用，适用于 DevSecOps 流水线中的合规审计、供应链安全分析与软件成分治理场景。