SCA
软件成分分析（Software Composition Analysis，SCA）是一类用于识别和管理软件项目中第三方及开源组件的安全技术与工具体系。其核心功能包括：自动识别项目依赖的开源组件及其版本、检测已知安全漏洞（CVE）、分析开源许可证合规风险，以及梳理组件依赖关系。SCA广泛应用于软件开发生命周期中，是保障供应链安全的重要手段。
核心事实
时间轴 (近 90 天)
短期内建议将 Cve.now 作为辅助数据源，与成熟 SCA 工具配合使用，而不是唯一依据。
Cve.now 这类 Feed 提供漏洞知识，而 SCA 解决项目里是否包含特定组件及版本的问题，两者互补。
可达性分析可以看作SCA的精细化延伸，在版本匹配的基础上叠加调用链分析，把“存在漏洞”收敛为“漏洞可被触发”，从而提升告警的信噪比。
SCA（软件成分分析）是一类用于识别项目依赖中已知漏洞、许可证风险和恶意代码的安全工具
CI/CD安全流水线的具体实现包括代码提交时运行SAST、构建阶段执行SCA、部署前进行DAST
自动化安全工具分为三类：SAST（静态应用安全测试）、DAST（动态应用安全测试）和SCA（软件组成分析）
CI/CD流水线中的自动化安全扫描包括SAST（静态应用安全测试）、DAST（动态应用安全测试）、SCA（软件成分分析）
软件组成分析（SCA）工具如Snyk、Dependabot、Trivy、Grype、Black Duck通过监控CVE数据库、OSV数据库和安全公告与项目依赖清单比对生成告警
全部知识事实 (10)
针对AI生成代码可使用静态应用安全测试（SAST）工具如Semgrep、Bandit自动扫描常见漏洞，软件组成分析（SCA）工具识别依赖包中的已知CVE漏洞
65%已验证DevSecOps在CI/CD流水线中强制嵌入安全检查环节，包括静态应用安全测试（SAST）、动态应用安全测试（DAST）、软件成分分析（SCA）等自动化工具
65%待验证短期内建议将 Cve.now 作为辅助数据源，与成熟 SCA 工具配合使用，而不是唯一依据。
50%待验证Cve.now 这类 Feed 提供漏洞知识，而 SCA 解决项目里是否包含特定组件及版本的问题，两者互补。
50%待验证可达性分析可以看作SCA的精细化延伸，在版本匹配的基础上叠加调用链分析，把“存在漏洞”收敛为“漏洞可被触发”，从而提升告警的信噪比。
50%待验证SCA（软件成分分析）是一类用于识别项目依赖中已知漏洞、许可证风险和恶意代码的安全工具
50%待验证CI/CD安全流水线的具体实现包括代码提交时运行SAST、构建阶段执行SCA、部署前进行DAST
50%待验证自动化安全工具分为三类：SAST（静态应用安全测试）、DAST（动态应用安全测试）和SCA（软件组成分析）
50%待验证CI/CD流水线中的自动化安全扫描包括SAST（静态应用安全测试）、DAST（动态应用安全测试）、SCA（软件成分分析）
50%待验证软件组成分析（SCA）工具如Snyk、Dependabot、Trivy、Grype、Black Duck通过监控CVE数据库、OSV数据库和安全公告与项目依赖清单比对生成告警
50%