开源组件漏洞扫描指南：SCA、SBOM 与修复优先级

SCA 要回答的不是列出多少 CVE，而是哪些必须修、谁来修、修到哪个版本。SBOM 是清单，扫描是在清单上做判断。