从容器镜像和文件系统生成软件物料清单（SBOM）的 CLI 工具与 Go 库，支持 CycloneDX 和 SPDX 格式，用于摸清镜像里到底装了哪些依赖。

扫描容器镜像和文件系统中的软件包，找出已知漏洞并输出 SBOM 与漏洞报告，适合接入 CI 做供应链安全把关。