把依赖盘点与漏洞复查分开：从镜像或文件系统生成 SBOM，理解组件、许可证和依赖关系，再把清单作为扫描输入。本文明确区分 SBOM、漏洞报告与来源可信证明。

核对 Trivy 0.75 对 Terraform HCL、变量文件和 Plan 的扫描方式，明确报告、秘密检测、远程模块下载与未知值的安全边界。