SBOM生产落地：生成、校验与发布门禁实战

SBOM 回答「发了哪些组件」。它不是漏洞扫描，也不是代码扫描。生产落地是：生成 CycloneDX、校验最低字段、按策略决定合并失败还是只开单，并把清单和制品一起归档。

目录

• 前言
• 一、三种清单不要混
• 二、生成
• 三、校验
• 四、门禁怎么拦
• 五、归档、签名与回滚
• 六、开工盘点与回滚成本