本機優先的設計

分析對象不會離開你的機器

BomLens 在本機執行，沒有 SaaS 後端。你所分析的東西——原始碼、韌體，或別人交給你的 SBOM——絕不會傳送到外部服務。掃描在本機的 Docker 容器中進行，也在那裡結束。產出物只會寫到你執行指令時所在的目錄。

可在封閉網路與離線環境使用

BomLens 可在實體隔離 (air-gapped) 與離線網路中執行。少數需要對外查詢的功能可以關閉，其餘一切照樣產生。安全報告的 EPSS 與 CISA KEV 補強是主要的例子：設定 SECURITY_ENRICH=false 就會略過它，報告的其餘部分仍會產生。授權條款查詢同樣可以用 FETCH_LICENSE=false 略過。反過來說，有三項檢查聽起來需要網路，其實不需要：已終止支援標記、惡意套件檢查與對外授權條款衝突檢查，讀取的都是建置映像檔時就寫進去的資料，因此完全沒有連線也照樣運作。

標準且可攜的產出物

產出物採用標準格式——SBOM 是 CycloneDX 1.6。它們不綁定任何單一廠商，因此你可以在任何地方驗證與再利用。若需要同一份輸入產生逐位元組完全相同的 SBOM，請使用 --byte-stable。

每個入口背後都是同一個掃描器

CLI、網頁介面與桌面版應用程式這三個入口，全都使用同一個本機掃描器容器。差別只在你操作工具的方式，行為與產出物完全相同。

BomLens 負責產生，TRUSCA 負責治理

BomLens 專注於產生。治理——全組織的專案管理、弱點分級處理、授權條款政策閘門——則交給姊妹專案 TRUSCA（前身為 TrustedOSS Portal，https://github.com/trustedoss/trusca）。兩個工具直接交換 CycloneDX 產出物。

相關文件

兩階段管線的運作方式請看BomLens 運作方式；產出物的種類請看產出物參考。