syft

生成容器镜像与文件系统 SBOM

补充说明

syft 从镜像、目录或归档中识别软件包并生成 SBOM（SPDX、CycloneDX 等），用于漏洞扫描、许可证审计和供应链追踪。

常用示例

syft alpine:3.20
syft registry.example.com/app:1.0
syft dir:.
syft packages docker:app:latest -o table
syft alpine:3.20 -o spdx-json > app.spdx.json
syft alpine:3.20 -o cyclonedx-json > app.cdx.json
syft alpine:3.20 --scope all-layers
syft alpine:3.20 --exclude './usr/share/**'

易错点与排错

• 默认可能只扫描最终层；需要完整依赖时用 --scope all-layers。
• 包识别依赖 cataloger，冷门包管理器或自编译二进制可能识别不到。
• SPDX 和 CycloneDX 的字段含义不同；下游工具要匹配格式。
• 生成的 SBOM 可复现性受镜像 digest、工具版本和排序影响。
• 私有镜像需要认证；失败时先确认 docker login 或 registry 配置。
• SBOM 不是漏洞报告；要配合 grype/trivy 等扫描器使用。
• 大镜像扫描会占内存和时间；CI 中可限定范围或缓存结果。

相关命令

• grype — 基于 SBOM 扫描漏洞
• cosign — 镜像签名与证明
• docker-buildx — 构建镜像