关于软件组成分析 (SCA)
软件组成分析 (SCA) 识别并检查代码库中的开源软件包，以检测潜在的安全漏洞。SCA 可以分析单独的源代码文件和软件包管理器工件（如配置文件和锁定文件），以确定项目所依赖的开源软件包。
SCA 也称为开源测试，可聚合来自各种来源的信息，在自动化过程中不断监控新的漏洞。软件组成分析 (SCA) 技术在整个供应链中用于识别组织中使用的开源和第三方组件及组织已知的安全漏洞和许可证限制。SCA 可以检测和抽取第三方组件，提供详细的许可证信息，查找已知漏洞和恶意软件，以及提供可行修复。
SCA 来源包括非常知名的安全漏洞数据库（NVD、Github 公告、Microsoft MSRC）以及各种知名度相对较小的安全公告和开放式源代码项目问题跟踪程序。SCA 会每天更新。
SCA 需要一个特定 ASoC Software Composition Analyzer 订阅。若您具有有效的订阅，开放式源代码测试将由其自身生成或（同时存在静态分析权利的情况下）自动包含在静态分析扫描中。SCA 执行下列操作：
- 查找代码中的开放式源代码包为确保 ASoC 仅收集用于开源测试的数据，请使用
appscan prepare_sca。 - 确定已知具有漏洞的开放式源代码软件包。
- 建议对易受攻击的软件包进行修复。