syft

Syft 是一款功能强大的 CLI 工具和 Go 库，旨在从容器镜像、文件系统和归档文件中生成软件物料清单（SBOM）。它支持广泛的打包生态系统，包括 Alpine (apk)、Debian (dpkg)、RPM、Go、Python、Java、JavaScript、Ruby、Rust、PHP、.NET 等。Syft 可以扫描 OCI、Docker、Singularity 及其他镜像格式，并与 Grype 无缝集成以进行漏洞扫描。它提供多种输出格式，如 CycloneDX、SPDX 和 Syft JSON，并支持在 SBOM 格式之间进行转换。此外，Syft 可以使用 in-toto 规范创建签名的 SBOM 证明。安装过程简单，可通过 curl 脚本完成，并可快速列出镜像或目录中的软件包，或生成各种格式的 SBOM。该项目由 Anchore 积极开发，并根据 Apache-2.0 许可证发布。