把依赖盘点与漏洞复查分开：从镜像或文件系统生成 SBOM，理解组件、许可证和依赖关系，再把清单作为扫描输入。本文明确区分 SBOM、漏洞报告与来源可信证明。