syft

Syft是一款开源的命令行工具和Go语言库，用于生成软件物料清单(SBOM)。它可分析容器镜像和文件系统，支持CycloneDX、SPDX等多种输出格式，能识别多种编程语言的包和依赖。Syft与Grype漏洞扫描器配合使用，可提供全面的软件成分分析和漏洞检测功能，有助于提高软件供应链的透明度和安全性。