syft

Syft 是一个用于从容器镜像和文件系统生成软件物料清单（SBOM）的命令行工具和 Go 语言库。它支持多种打包生态系统，包括Alpine、Debian、RPM等，并能处理OCI、Docker等多种镜像格式。Syft 的核心功能包括生成详细的SBOM，支持CycloneDX、SPDX等多种输出格式，并可与Grype等漏洞扫描工具无缝集成以增强安全性。此外，Syft还允许用户创建符合in-toto规范的签名SBOM证明。该工具非常适合需要对软件供应链进行审计或希望提高容器安全性的开发团队使用。