Syft

一个用于从容器镜像和文件系统生成软件物料清单（SBOM）的 CLI 工具和 Go 库。与 Grype 等扫描器配合使用时，在漏洞检测方面表现卓越。

                 

功能特性

• 为容器镜像、文件系统、归档文件生成 SBOM（完整支持的扫描目标列表请参阅文档中的支持的扫描目标）
• 支持数十种包生态系统（例如 Alpine (apk)、Debian (dpkg)、RPM、Go、Python、Java、JavaScript、Ruby、Rust、PHP、.NET 以及更多）
• 支持 OCI、Docker、Singularity 以及更多镜像格式
• 与 Grype 无缝协作进行漏洞扫描
• 多种输出格式（CycloneDX、SPDX、Syft JSON 以及更多），包括在 SBOM 格式之间进行转换的能力
• 使用 in-toto 规范创建已签名的 SBOM 证明

[!TIP] 初次使用 Syft？请查看入门指南获取完整演练！

安装

快速上手的最简单方式：

curl -sSfL https://get.anchore.io/syft | sudo sh -s -- -b /usr/local/bin

[!TIP] 更多获取 Syft 的方式请参阅安装文档，包括 Homebrew、Docker、Scoop、Chocolatey、Nix 等！

基础用法

查看容器镜像或目录中的软件包：

# container image
syft alpine:latest

# directory
syft ./my-project

要获取 SBOM，请指定一个或多个输出格式：

# SBOM to stdout
syft <image> -o cyclonedx-json

# Multiple SBOMs to files
syft <image> -o spdx-json=./spdx.json -o cyclonedx-json=./cdx.json

本地 containers-storage 镜像

在 Linux 上，syft 可以在明确要求时从本地 containers-storage 存储（例如使用 Buildah 或 Podman 构建的镜像）扫描镜像；普通的镜像引用永远不会在那里查找：

syft --from containers-storage localhost/myimage:latest

# rootless stores must be read from inside the builder's user namespace
podman unshare syft --from containers-storage localhost/myimage:latest

此功能已包含在 Linux 发行版二进制文件中。从源码构建时，请添加 -tags containers_image_openpgp,exclude_graphdriver_btrfs。

[!TIP] 查看入门指南 以探索所有能力和功能。

想了解 Syft 的所有细节？ 请查看 CLI 文档、配置文档和 JSON schema。

贡献

我们鼓励用户通过提交 issue来帮助改进这些工具，无论是发现 bug 还是希望添加新功能。 如果您有兴趣提供代码贡献，请查看我们的贡献概述和开发者专属文档。

Syft 的开发由 Anchore 赞助，并在 Apache-2.0 许可证下发布。 Syft 标志由 Anchore 创作，采用 CC BY 4.0 许可协议。

如需 Syft 或 Grype 的商业支持选项，请联系 Anchore。

来和我们交流吧！

Syft 团队定期举行在线社区会议。欢迎所有人参加并带来讨论话题。

• 查看日历了解下次会议日期。
• 将议题添加到议程（加入此群组以获得议程的写入权限）
• 到时见！