同一份「全能力」报告太厚研发只想看代码路径供应链只想看 CVE合规只要许可证例外——这时不要再开五种互不相干的导出工具而是在同一套报告快照上按能力收窄。结论先按文末参考「报告怎么出」选受众并冻成 READY 快照再在范围/筛选里勾能力或引擎sastOpenGrep、scaTrivy依赖/制品/镜像、secretGitleaks、许可证相关。SARIF 只服务问题明细SAST/SECRET/SCA纯质量或纯许可证范围下载菜单里 SARIF 可能不可用。对外文件不写密钥正文。SBOM 概念见文末参考SBOM 起步——本文不改写成 SBOM 教程。生成向导、月报、分享、发布不在本文重复一律见「报告怎么出」。1. 和「报告怎么出」怎么分工你要解决的问题读哪篇受众、时间窗、月报、格式、READY、分享/发布报告怎么出快照总入口只留 SAST / 组件 / 镜像 / 密钥 / 许可证视角本文严重度怎么读、路径怎么理解报告怎么读存量共通前置压缩版相关检查已完成 → 新建报告选受众 → 范围选指定检查或当前态/时间窗 → 用能力 / 引擎 / 严重级别过滤 → 要 SARIF 时打开问题明细→ READY 再下载。2. 过滤器总表先选这张视角勾选以控制台字段名为准推荐受众SARIFSAST能力 SAST / 引擎 OpenGrep研发修复开问题明细后通常可用组件 CVESCA目标偏目录依赖或制品研发修复管理层只要摘要开明细后通常可用镜像 CVESCA指定该次IMAGE任务研发修复 / 发版归档同上密钥能力 SECRET / Gitleaks对内研发对外三方检查只留计数开明细后通常可用对外慎用许可证许可证 / LICENSE 筛选三方检查或研发通常不要指望 SARIF质量质量引擎章节可出现在研发向默认不计入安全门禁常不可用一次生成「五种报告」产品以一份 Spec/Document 为主要五种视角就建五份报告或复制配置改过滤不要手工改导出文件冒充多份快照。3. SAST路径和修复建议目标读者要改代码的人。项做法过滤只留 SAST关掉 SECRET/SCA 噪音章节开问题明细分组常按规则以向导为准验收HTML/CSV 能看到文件路径、规则 IDSARIF 能被 IDE 打开且条数与明细同量级禁止把质量异味默认算进安全门禁结论把管理层简要模板当修复清单落地实践见文末参考SAST 指南存量文。专属翻车选了管理层态势 → 没有路径。换研发修复并打开问题明细。4. 组件漏洞依赖和 CVE 排序目标读者要升依赖、排修复序的人。项做法过滤SCA范围对准含 lock/清单的目录或制品检查不要混无关镜像 Job筛选最低严重级别若控制台提供 KEV/EPSS 再收窄验收CSV/JSON 含组件坐标、CVE、建议版本已抑制未过期的不要重复派单禁止宣称「检出率高于某云端 SCA」无法核验排序先 CRITICAL/HIGH 且升级路径清晰的。CVE 响应见文末参考CVE 手册。专属翻车能力过滤未勾报告里混进密钥命中 → 只留 SCA。5. 镜像漏洞这一次镜像检查目标读者发版签核、镜像门禁复盘。项做法范围指定检查→ 勾该次IMAGE已完成任务不要用「当前态」混进上周旧镜像能力SCATrivy image验收报告门禁结论与该 Job 一致标签/摘要能对上注意漏洞库过期会导致假绿——先见文末参考内网漏洞库CRITICAL 先阻断再灰度见文末参考Trivy 门禁灰度。专属翻车范围用了当前态 → 出现多个镜像标签。改回指定 Job。6. 密钥位置对内、计数对外受众写什么禁止研发修复内部文件路径、规则、掩码后的上下文以产品脱敏为准完整密钥贴进聊天/工单/Wiki三方检查对外命中条数、是否已处置、例外审批密钥正文、可还原片段、未脱敏仓库地址分享前确认受众为对外模式并已发布。密钥门禁主路径见文末参考密钥扫描进流水线。专属翻车把研发修复 PDF 改名外发 → 作废用三方检查重出。7. 开源许可证不合规与已批例外这里的许可证是依赖组件的许可证SPDX 等标识以引擎结果为准不要和产品自身社区版 GPL-3.0 许可写进同一论证节。项做法过滤许可证相关筛选字段名以控制台为准读者拿走不合规组件、双许可/未知许可、已批准例外导出PDF/HTML/CSV不要硬下 SARIF验收例外清单能与抑制/风险接受记录对账未知许可与双许可见文末参考许可证例外。专属翻车纯许可证范围点 SARIF → 菜单不可用或失败改 CSV/PDF。8. SARIF 边界能力视角可以不可以假设SAST / SECRET / SCA 问题明细进 IDE、GitHub code scanning「所有报告都能出 SARIF」与同 Document 的 HTML/PDF 明细数字一致管理层默认简要、三方未开明细、质量章、纯许可证 → 一定有 SARIF仅含问题明细数据SARIF 代替完整对外证据包9. 翻车表汇总现象原因处理SAST 没有路径管理层简要或关掉明细研发受众 问题明细组件报告混密钥能力过滤未勾只留 SCA镜像混进旧标签未指定 IMAGE Job指定该次任务对外能搜到 Token 形态受众/脱敏错误作废重出三方检查许可证硬下 SARIF范围无问题明细类 FindingCSV/PDF五份文件数字对不上手工改导出冒充多快照分别生成五份 READY 报告FAQ能不能一次生成「五种报告」自动拆文件以一份 Spec/Document 为主要五种视角就建五份或复制配置改过滤。质量报告算安全报告吗质量章节可出现在研发向报告里但默认不计入安全门禁与风险分以产品口径为准。不要把质量引擎写成默认 SAST。和 Repo 入库报告什么关系Repo 可做轻量入库拦截跨仓、抑制、正式对外检查报告以 Security 为准。见文末参考Repo 联动。小结同一套快照机制按能力过滤出五种视角生成步骤见「报告怎么出」。密钥对内看位置对外只留计数。许可证讲依赖许可不与产品自身 GPL 混写别指望 SARIF。镜像必须指定 IMAGE 任务避免当前态混标签。参考文章安全扫描报告怎么出https://www.anguskit.com/zh/blog/security-scan-report-snapshot-export安全扫描报告怎么读https://www.anguskit.com/zh/blog/how-to-read-security-scan-reportsSAST 指南https://www.anguskit.com/zh/blog/sast-static-application-security-testing-guideSCA 指南https://www.anguskit.com/zh/blog/sca-dependency-vulnerability-scanning-guide镜像扫描https://www.anguskit.com/zh/blog/container-image-vulnerability-scanning-trivy密钥门禁https://www.anguskit.com/zh/blog/secret-scanning-gitleaks-ci-gate-practice许可证合规https://www.anguskit.com/zh/blog/open-source-license-compliance-scanning-guide许可证例外https://www.anguskit.com/zh/blog/license-scan-unknown-dual-license-exceptionsSBOM 起步https://www.anguskit.com/zh/blog/sbom-software-bill-of-materials-getting-startedCVE 响应https://www.anguskit.com/zh/blog/cve-vulnerability-response-playbook内网漏洞库更新https://www.anguskit.com/zh/blog/intranet-vuln-db-offline-update-rollbackTrivy 门禁灰度https://www.anguskit.com/zh/blog/trivy-gate-critical-block-and-gradual-rolloutRepo 联动https://www.anguskit.com/zh/blog/angussecurity-angusrepo-artifact-gate-integration文档中心https://www.anguskit.com/zh/docs/security