SBOM 回答「发了哪些组件」。它不是漏洞扫描，也不是代码扫描。生产落地是：生成 CycloneDX、校验最低字段、按策略决定合并失败还是只开单，并把清单和制品一起归档。目录前言一、三种清单不要混二、生成三、校验四、门禁怎么拦五、归档、签名与回滚六、开工盘点与回滚成本