FOSSA 替代方案

CRACI 是我們打造的產品，請您將這點納入考量；我們依據每個選項自己的文件來描述它，並會在其他工具更適合時明白告訴您。

團隊為何考慮 FOSSA 以外的選擇

FOSSA 從授權合規起家，這點也看得出來：全文授權偵測、自動化政策、著作權資訊擷取，以及 SPDX、HTML 與文字格式的授權聲明（attribution notice）。除此之外，FOSSA 會產生 SPDX 與 CycloneDX 格式的 SBOM，依 NTIA 與 FDA 最低要素政策匯入供應商 SBOM，並在 Enterprise 方案中透過 SBOM Portal 分享。FOSSA CLI 可與超過 20 種建置系統整合，並提供免費方案。

團隊仍會比較替代方案，通常是出於範圍與適配性的考量：

• 更深入的程式碼檢查。大規模的程式碼片段、特徵碼與二進位檔分析，或在同一套件中對您自己的程式碼進行靜態分析。
• 以資安為優先的平台。對您而言，容器政策、可達性分析或產品資安的記錄系統，可能比授權工作更重要。
• SBOM 的來源。當有可正常運作的建置時，FOSSA CLI 會查詢您的建置工具；沒有時則從原始碼推斷。有些團隊想要的是建置實際取用內容的記錄。
• 價格與架設方式。按專案計價可能不適合您，或者您想要免費、可自行架設的工具。

選擇時的考量重點

• 授權的深度：已宣告與未宣告的授權、政策、授權聲明。
• SBOM 的產生方式，以及工具是否會在 SBOM 不完整時告訴您。
• 供應商 SBOM 的匯入、VEX，以及與客戶或主管機關的分享。
• 如果您出貨並非從原始碼自行建置的程式碼，是否支援程式碼片段、二進位檔或韌體分析。
• CI 涵蓋範圍、架設選項，以及價格如何隨規模調整：按專案、按開發者或採報價制。

各個選項

1. CRACI（我們的產品）

CRACI 是在建置執行時記錄 SBOM 的 GitHub Actions 執行器。具備套件感知能力的代理伺服器會擷取連往套件來源的流量，包括從 CI 快取還原的套件，以及建置所使用的所有遞移相依套件，而每份 SBOM 都會針對每個作業與每個快取標示其完整性。CRACI 會強制執行失效即封鎖（fail closed）的對外連線政策，並持續重新評估受監控的 SBOM。CRACI 的資產清冊檢視可在全球範圍內精確顯示哪些軟體版本部署到哪些產品。

授權資訊也來自同一份記錄。每個記錄的套件都帶有其宣告的授權，因此您可以在出貨前看到哪些相依套件採用商業或其他限制性授權，而 copyleft 授權也會在進入產品之前就被找出。授權政策規則可依授權阻擋建置。

最適合：使用 GitHub Actions 的團隊，需要說明每個發布版本是由什麼建置而成，並在同一份記錄中掌握宣告的授權與授權政策。選擇前請考量：宣告的授權是否足以涵蓋您的授權工作。CRACI 不進行程式碼片段或二進位檔掃描，目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。CRACI 與 FOSSA 比較

2. Black Duck

Black Duck SCA 結合了套件管理工具掃描、特徵碼掃描、程式碼片段偵測與二進位檔分析，因此能找出沒有人宣告的開源內容。其 KnowledgeBase 追蹤超過 2,750 種授權，包括未宣告的授權、全文與著作權資料。Black Duck Binary Analysis 可在沒有原始碼的情況下檢查執行檔、容器與韌體，Coverity 則提供涵蓋 22 種語言的 SAST。

最適合：含有複製或內嵌（vendored）開源程式碼的程式碼庫，以及需要檢查第三方二進位檔或韌體的團隊。選擇前請考量：報價制是否適合您；截至 2026 年 9 月並無公開價格。CRACI 與 Black Duck 比較

3. Sonatype

Sonatype Lifecycle 是 Sonatype 的 SCA 與政策產品。它內建 18 項預設政策，授權政策涵蓋超過 2,000 種授權，其 Advanced Binary Fingerprinting 會檢查完成的應用程式，包括經過重新命名或修改的元件。Repository Firewall 會在不符合您政策的元件進入儲存庫之前加以阻擋，SBOM Manager 則以 VEX 工作流程匯入並監控 SBOM。

最適合：希望在套件儲存庫與應用程式層級同時執行授權與資安政策的組織。選擇前請考量：您是否使用 Nexus 或其他儲存庫管理工具。新客戶購買的是 Sonatype Guide；Firewall Pro 每年 $4,800 起（截至 2026 年 9 月）。CRACI 與 Sonatype 比較

4. Anchore Enterprise

Anchore Enterprise 建立在開源的 Syft 與 Grype 之上。它可為容器、原始碼與檔案系統建立 SBOM，匯入其他地方產生的 SBOM，持續重新掃描已儲存的 SBOM，並執行 FedRAMP 與 NIST 等政策套件。它可以自行架設，包括在隔離網路（air-gapped）環境中。

最適合：以容器為主的環境與政府機關環境。選擇前請考量：授權合規是否並非您的主要需求；我們參考的 Anchore 資料著重於資安政策。價格採報價制。CRACI 與 Anchore 比較

5. Cybeats SBOM Studio

SBOM Studio 是管理您自家產品與供應商 SBOM 的記錄系統。它支援 SPDX 2.2 至 3.0.1 與 CycloneDX 1.2 至 1.7，以 Quality Score 驗證檔案，持續比對元件，並加入 VEX 以及 OSS 與 COTS 授權分析。它可與客戶分享 SBOM，包括透過 Transparency Exchange API。

最適合：跨多項產品與供應商推動 SBOM 計畫的產品資安團隊。選擇前請考量：您是否另有產生 SBOM 的方式；Cybeats 會引導您使用其 Marketplace 廠商。CRACI 與 Cybeats 比較

6. Manifest

Manifest 可為您的產品、廠商的軟體與您的 AI 模型建立、匯入、擴充並分享 SBOM。廠商透過入口網站上傳，當廠商無法提供 SBOM 時，Manifest 可從已編譯的二進位檔產生。它支援 SPDX、CycloneDX 與 VEX，並將檢測結果轉為工單與風險報告。

最適合：主要風險來自所採購軟體的組織。選擇前請考量：授權合規是否是核心需求；我們參考的 Manifest 資料著重於資安與供應商風險。CRACI 與 Manifest 比較

7. Mend.io

Mend SCA 會偵測直接與遞移相依套件的授權並執行政策，例如在商業產品中阻擋 AGPL。它還提供呼叫圖可達性分析、惡意套件偵測、SPDX 與 CycloneDX 格式的 SBOM、第三方 SBOM 匯入與 VEX。Mend SAST 涵蓋超過 30 種語言，Mend Renovate 則讓相依套件保持最新。

最適合：希望從單一廠商取得授權政策、資安掃描與相依套件更新的團隊。選擇前請考量：按開發者計價是否適合您；Mend AppSec 的牌價為每位參與開發者每年最高 $1,000（截至 2026 年 9 月）。CRACI 與 Mend.io 比較

8. Dependency-Track（開源）

OWASP Dependency-Track 是採用 Apache 2.0 授權的免費平台，可追蹤您整個產品組合中的元件，從 NVD 與 GitHub Advisories 等來源取得漏洞資料，並套用資安、授權與營運政策。它可匯入並產生 CycloneDX VEX。

最適合：希望自行架設 SBOM 分析與授權政策、且不需支付授權費用的團隊。選擇前請考量：您是否準備好自行維運並提供資料給它；它分析您上傳的 SBOM，但不會產生 SBOM。給 Dependency-Track 使用者的 CRACI

9. ScanCode Toolkit（開源）

來自 AboutCode 專案的 ScanCode Toolkit，可偵測原始碼與二進位檔中的授權、著作權、套件 manifest 與直接相依套件。結果可輸出為 JSON、YAML、HTML、CycloneDX 或 SPDX。此工具採用 Apache-2.0 授權。

最適合：希望在任何地方都能執行免費、檔案層級授權與著作權偵測的團隊。選擇前請考量：您是否能圍繞它建立工作流程。它是掃描工具，因此政策、監控與報告都需要您自行加入。

10. OSS Review Toolkit（開源）

OSS Review Toolkit（ORT）是採用 Apache 2.0 授權的 Linux Foundation 專案，可自動化開源政策。其 Analyzer 會跨套件管理工具解析相依套件，Downloader 取得其原始碼，Scanner 執行授權與著作權掃描工具，Advisor 取得資安公告，Evaluator 套用您的政策規則，Reporter 則產生報告、開源聲明與 SBOM。

最適合：希望以政策即程式碼方式、建立免費且自行架設之授權合規管線的團隊。選擇前請考量：您是否有足夠的工程時間來設定並執行它。

並列比較

「Anchore」指的是 Anchore Enterprise，「Cybeats」指的是 SBOM Studio。ScanCode 與 ORT 是需要您自行組裝到工作流程中的工具組，因此只在上文說明，未列入表格。「未說明」表示廠商文件中未描述該功能，並不代表該功能不存在。

何時該繼續使用 FOSSA

• 授權合規與授權聲明是您的首要考量，並由法務與工程團隊共同負責。
• 您希望先免費開始，再隨規模成長按專案付費。
• 您透過 FOSSA 的 SBOM Portal 與合作夥伴或公眾分享 SBOM。

若想進一步了解如何在源頭記錄 SBOM，請參閱建置時 SBOM 產生、CRA 佐證資料與價格方案。

FOSSA 替代方案常見問題

團隊在比較時最常提出的問題，簡短回答

FOSSA 最好的替代方案是什麼？

取決於您缺少的是什麼。程式碼片段與二進位檔掃描，可考慮 Black Duck。在套件儲存庫層級執行授權政策，可考慮 Sonatype。結合資安掃描與相依套件更新的授權政策，可考慮 Mend.io。跨供應商的 SBOM 計畫，可考慮 Cybeats 或 Manifest。免費工具則有 ScanCode Toolkit、ORT 與 Dependency-Track。如果您需要每次建置所取用內容的記錄，CRACI 會從建置本身記錄下來。

有免費的 FOSSA 替代方案嗎？

有。ScanCode Toolkit 與 OSS Review Toolkit（ORT）是免費的開源授權掃描工具，OWASP Dependency-Track 則是可對您上傳的 SBOM 套用授權政策的免費平台。FOSSA 本身也有免費方案。使用免費工具時，架設、設定與報告都需要您自行處理。

哪些 FOSSA 替代方案能執行授權政策？

FOSSA、Black Duck、Sonatype、Mend.io 與 Dependency-Track 都能套用授權政策，ORT 則會評估您撰寫的授權規則。例如 Mend.io 可以在商業產品中阻擋 AGPL。在 CRACI 中，每個記錄的套件都帶有其宣告的授權，因此 copyleft 授權會在進入產品之前就被找出，授權政策規則也可以阻擋建置。

CRACI 支援授權合規嗎？

就宣告的授權而言，支援。CRACI 從建置中記錄的每個套件都帶有其宣告的授權，並會匯出至 SBOM，授權政策規則也能依授權阻擋建置。CRACI 不進行程式碼片段或二進位檔掃描，因此不會找出未以套件形式、直接複製進您程式碼的開源內容。

FOSSA 與 Black Duck 有什麼不同？

FOSSA 從授權合規起家，並加入了 SBOM 管理，提供免費方案與按專案計價。Black Duck 則是範圍更廣的 AppSec 產品組合：具備特徵碼、程式碼片段與二進位檔分析的 SCA、收錄超過 2,750 種授權的 KnowledgeBase，以及 Coverity SAST，採報價制銷售。FOSSA 則以附加元件形式提供程式碼片段與二進位檔掃描。