1. 介绍
借助软件成分分析（SCA）工具，软件开发团队能从许可证合规和安全漏洞角度跟踪和分析引入到项目里的任何开源代码。这样的工具发现开源代码（不同程度的细节和功能），他们直接和间接依赖、许可证有效性，和任何已知的安全漏洞及潜在的攻击。好多公司提供软件成分分析（SCA）工具套装、开源工具、作为社区项目驱动的相关服务。总有关于什么工具最适合特定的模型和环境的问题，缺少对比和评估工具的标准方法，很难回答这个问题。因此，本文的目标是推荐一系列对比指标，用以评价多个软件成分分析（SCA）工具。
本文是《企业中开源软件合规性》（第二版）一书中第12章的重大更新版。这本书记录和发布了对比及评估软件成分分析（SCA）工具的指标，搜集反馈、推动建立对比和评测的标准化模型。请注意，没有“一劳永逸”的方案，在市场上有许多工具，具有不同功能、成熟度水平、部署模型等。当你开始这段旅程时，我们强烈推荐你根据特定环境和要求，确定最想要的功能，然后根据这些指标对工具进行测试和评分。