### ① 组件是什么 SBOM（Software Bill of Materials）列出镜像/应用内含的组件、版本、依赖关系，是成分透明清单，用于已知漏洞匹配与溯源。 ### ② 语言与 C 库 生成工具多为 Go，扫描镜像层文件系统，goroutine。读文件 `open`/`read`，不 fork。 ### ③ 运行机制 构建时扫描镜像层，产出组件清单，部署后对照漏洞库匹配，发现含已知脆弱组件的镜像即告警拦截。 ### ④ 常见配置缺陷 - 不生成 SBOM，成分黑盒，已知漏洞无从匹配。 - SBOM 不随版本更新，与实际镜像脱节。 - 只生成不在准入/部署时强制校验，清单形同虚设。 ### ⑤ 对应攻击链路 SBOM 本身不是攻击点，是供应链可视化工件。缺失则含已知漏洞的脆弱组件随镜像进入集群，成为后续利用的素材，属于事前缺口而非直接漏洞。 ### ⑥ 对应 C 库 文件扫描 `open`/`read`。漏洞库查询 socket。 ### ⑦ 对应工具 SBOM 生成与覆盖核查、准入强制校验配置核对。 【链路推演】无 SBOM/不强制 → 脆弱组