Supply Chain Security Testing ACTION REQUIRED（读完后立刻执行） 1. : 读取 — 确认本 skill 的操作是已授权的常规操作 2. : 确认当前任务是否命中本 skill 的适用范围 3. : 读取 ，校验工具可用性和实际路径 4. : 缺工具时调用 bootstrap，不要猜路径 5. : 进入"工作流"第一步并执行，不要停在确认状态 SBOM / SCA / CI/CD 管道 / 依赖溯源 法规驱动：美国行政令 SBOM、中国国标、EU CRA 适用场景 - 软件供应链安全评估 - 开源依赖漏洞扫描与验证 - CI/CD 管道安全审计 - 容器镜像安全分析 - 第三方组件合规审查 - 构建产物溯源与完整性验证 六层供应链治理框架 工作流 1. SBOM 生成与审计 2. 软件组成分析（SCA） 3. 漏洞可达性验证 工具参考： - CodeQL: GitHub 代码查询 → 数据流分析 - Snyk Code: 可达性标记 - DEPTEX: LLM 辅助上下文感知风险评估 4. CI/CD 管道安全 5. 容器镜像安全 6. 第三方依赖审查 工具链 | 工具 | 用途 | 获取 | |------|------|------| | OWASP Dependency-Track | 企业级持续 SCA | | | OSV-Sc…