ForgeGuardian - Open-source software supply-chain security scanner

ForgeGuardian 每次扫描并行运行 OSV、行为、恶意字节、AI 权重和 MCP 注入等引擎，声称覆盖 9 个生态和 223+ 检测签名。除了 CLI，它还生成 CycloneDX/SPDX SBOM、做 Sigstore 签名、依赖拓扑和风险评分，并可在 air-gapped 环境自托管；`fgctl scan . --ci --fail-on=high --format=sarif` 能直接接 GitHub Actions。社区版免费 Apache-2.0，团队 RBAC 与云托管被留在 Pro，离线优先是它对供应链数据外泄的明确回答。