Sub-capability · cap-sca
软件成分分析
Software Composition Analysis
能力说明
识别项目第三方组件与依赖，并匹配已知公开漏洞或组件风险。SCA 不自动证明恶意包检测、构建防篡改或完整供应链安全。
定义是 OmySec 的编辑性描述，用于建立可比较的边界，不代表标准组织或厂商的官方定义。不同厂商对同一术语的实现范围可能差异很大，具体能力以产品页的来源与条件为准。
包含范围
- 第三方依赖清单
- 已知漏洞匹配
- 许可证/组件风险（如声明）
排除与边界
- 恶意包检测全部
- 构建签名
- SAST 源码缺陷
相关词（非严格同义）：第三方组件 · 开源组件风险 · SBOM · 依赖分析
定义参考
以下是编辑描述的参考依据，与下方产品声明证据分别记录；引用不表示官方认证或标准定义逐字等价。
- OWASP Dependency-Check Dependency-Check 13.0 · SCA identifies project dependencies and checks known vulnerabilities · 核对 2026-10-18
分类版本 0.3-draft · 稳定节点，定义随证据修订。