mcp
集成Trivy扫描，自动生成CycloneDX格式的软件物料清单（SBOM）报告。
安装使用
复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：
帮我安装这个 AI Skill：mcp。 它的用途是：集成Trivy扫描，自动生成CycloneDX格式的软件物料清单（SBOM）报告。 详细介绍见：https://321skill.com/skills/mcp-mcp-sbom-server/ 请根据该页面的说明完成安装。
使用示例
“请为当前项目目录生成一份CycloneDX格式的SBOM报告。”，它会调用此Skill，自动运行Trivy扫描项目依赖，并将结果整理成结构化的CycloneDX JSON或XML文件供你下载或查看。或者，你可以说：“分析这个Docker镜像的组件清单。”，它同样会工作并生成报告。
介绍
该Skill是一个基于Python的MCP（Model Context Protocol）服务器，核心功能是帮助开发者和安全团队自动化生成符合CycloneDX标准的软件物料清单（SBOM）。SBOM是软件成分的详细清单，对于软件供应链安全至关重要，但手动生成和管理既繁琐又容易出错。
通过集成成熟的Trivy安全扫描工具，该Skill能够自动分析项目代码库或容器镜像，识别其中包含的所有组件（如开源库、依赖包）及其版本信息，并生成结构化的CycloneDX格式报告。用户只需通过支持MCP协议的AI助手（如Claude Desktop）或命令行工具发起请求，即可快速获得SBOM，无需手动运行复杂的扫描命令或处理输出格式。
它非常适合需要遵循安全合规要求（如软件供应链安全最佳实践、行业法规）的软件开发团队、DevOps工程师和安全研究人员。对于正在实施DevSecOps流程，希望将SBOM生成自动化集成到CI/CD流水线中的团队尤其有用。
使用前请确保系统已安装Python和Trivy。建议在项目构建或发布前使用此Skill生成SBOM，并将其作为制品的一部分进行归档，以便于漏洞影响分析和许可证合规审查。注意，其生成的SBOM质量依赖于Trivy扫描的准确性，对于高度定制或非标准的项目结构可能需要进行额外配置。
核心特点
它将SBOM生成能力直接集成到MCP生态中，让用户可以通过自然语言与AI助手交互来触发复杂的安全扫描任务，无需记忆Trivy命令和参数；同时，它专注于输出标准化的CycloneDX格式，而非Trivy的原生JSON，更便于与专业的SBOM管理工具链集成。
注意事项
不适合需要深度定制扫描策略或分析非标准编程语言/框架构成的复杂遗留系统的场景。
常见问题
这个Skill和直接使用Trivy命令行有什么区别？
它封装了Trivy命令，通过MCP协议提供更便捷的交互方式（如通过AI助手触发），并直接输出标准CycloneDX格式，省去了格式转换步骤。
生成的SBOM报告可以用来做什么？
主要用于软件供应链安全，如跟踪依赖组件、快速排查漏洞影响范围、进行许可证合规审查，以及满足相关安全法规的透明度要求。