https://korea-wg.openchainproject.org/tags/osv-scalibr/Recent content in OSV-SCALIBR on OpenChain KWGHugokohttps://korea-wg.openchainproject.org/guide/tools/4-osvscalibr/Mon, 01 Jan 0001 00:00:00 +0000https://korea-wg.openchainproject.org/guide/tools/4-osvscalibr/<p>OSV-SCALIBR (Open Source Vulnerabilities - Software Composition Analysis LIBRary)은 Google이 개발한 오픈소스 소프트웨어 구성 분석 도구입니다. 파일시스템, 컨테이너 이미지, 바이너리를 스캔하여 포함된 패키지를 식별하고, <a href="https://osv.dev/">OSV(Open Source Vulnerabilities)</a> 데이터베이스와 대조하여 알려진 취약점을 검출합니다. SPDX, CycloneDX 형식의 SBOM 생성도 지원합니다.</p> <ul> <li>GitHub: <a href="https://github.com/google/osv-scalibr">https://github.com/google/osv-scalibr</a></li> <li>라이선스: Apache-2.0</li> </ul> <h2 id="1-주요-특징">1. 주요 특징</h2> <ul> <li><strong>다양한 스캔 대상 지원</strong>: 로컬 파일시스템, 컨테이너 이미지, 아카이브 파일</li> <li><strong>폭넓은 생태계 지원</strong>: Go, Python, Java(Maven), JavaScript(npm), Rust, Ruby 등</li> <li><strong>OSV DB 연동</strong>: 스캔 결과를 OSV 데이터베이스와 대조하여 CVE 등 취약점 정보 제공</li> <li><strong>다양한 SBOM 출력 형식</strong>: SPDX 2.3, CycloneDX JSON 형식으로 결과 내보내기 가능</li> <li><strong>CLI 및 라이브러리 이중 제공</strong>: 독립 실행 바이너리(CLI)와 Go 라이브러리 모두 제공</li> </ul> <h2 id="2-설치-방법">2. 설치 방법</h2> <p>Go 1.21 이상이 설치된 환경에서 아래 명령으로 설치합니다.</p>