CRACI vs FOSSA

簡短回答

FOSSA 最擅長開源授權合規與 SBOM 生命週期管理：產生應用程式 SBOM、匯入第三方 SBOM、監控其中的漏洞，並與客戶及主管機關分享。CRACI 是 GitHub Actions 執行器，會記錄每個作業實際取用的相依套件，並從這份記錄產生附有完整性狀態的 SBOM。

FOSSA 管理您交給它的 SBOM。CRACI 則從建置產生 SBOM 並持續監控，因此就您自己的軟體而言，CI、SBOM 與漏洞追蹤都在同一處。如果授權合規是主要考量，FOSSA 仍然領先。

快速比較

FOSSA 的強項

• 授權合規。這是 FOSSA 的起家本領，實力有目共睹。它能從全文偵測授權、自動套用政策、擷取著作權資訊，並產生 SPDX、HTML 與文字格式的歸屬聲明。法務與工程團隊可以使用同一份資料協作。
• SBOM 生命週期。FOSSA「既產生也使用 SBOM」。它可產生 SPDX 與 CycloneDX 格式的 SBOM，並可選擇加入 VDR 或 VEX 聲明；也能匯入既有的 SBOM，以「分析您並未自行建置的相依套件」。SBOM 政策可要求匯入的檔案符合 NTIA 與 FDA 的最低要素。
• 發布分享。在 Enterprise 方案中，SBOM Portal 可與合作夥伴或公開分享 SBOM 資料，讓您不必透過電子郵件寄送檔案給客戶。
• 廣泛的掃描。FOSSA CLI 可與超過 20 種建置系統整合，並內含容器掃描。程式碼片段掃描與二進位檔掃描則以附加元件提供。
• 免費入門。Free 方案涵蓋 5 個專案與 5 份匯入的 SBOM。Business 方案為每個專案每月 $20、按年計費，Enterprise 則為客製化報價（截至 2026 年 9 月）。

如果您的主要問題是授權風險，或要管理來自眾多供應商的 SBOM，FOSSA 涵蓋了 CRACI 未觸及的領域。CRACI 會顯示宣告的授權中繼資料、將其納入 SBOM 匯出，並強制執行授權政策。

CRACI 的不同之處

SBOM 來自建置的實際行為

FOSSA CLI 在可取得可運作的建置時，會與專案的建置工具整合來分析專案；若無法取得，則從原始碼推斷相依套件。這是合理的做法，但仍然是對專案的分析。CRACI 則改為執行作業本身。您將 runs-on 改為 craci，具備套件感知能力的代理伺服器就會在建置期間記錄連往套件來源的流量：npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，以及下載預設組態。相依套件的佐證資料會隨 CI 快取一起傳遞，因此從快取還原的套件仍會留在記錄中，包括建置使用的所有遞移相依套件。

方法之所以重要，是因為 SBOM 產生工具彼此不一致，而且這種不一致是設計使然。每個工具都自行決定什麼算是元件、要信任哪些檔案，因此將兩個工具指向同一個儲存庫，會得到兩份有所重疊但不相同的清單。FOSSA 與 CRACI 都無法以這種方式比較，因為 CRACI 記錄的是建置，無法掃描目錄。這一點針對的是一般的靜態分析：答案取決於工具、其設定與現有的檔案。

不完整時會告訴您

FOSSA 的 SBOM 政策會檢查必要欄位是否存在。CRACI 則提供另一種訊號：每個作業與每個快取的完整性狀態（Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded），說明記錄本身是否有缺口。當稽核人員問您如何得知資產清冊是完整的，這就是答案。

控管與來源證明

由於作業由 CRACI 執行，它會強制執行網路對外連線政策：預設拒絕或預設允許，內建 24 種軟體來源預設組態與依類型定義的自訂來源，在作業開始前驗證，並採取失效即封鎖。API 會回傳 SBOM、網路追蹤記錄與來源證明。

監控

CRACI 會持續重新評估受監控的 SBOM。FOSSA 的 fossabot 處理的是另一個問題：它會審查相依套件更新（包括來自 Dependabot 或 Renovate 的更新）是否有破壞性變更及其影響。

部署在何處的資產清冊

CRACI 的資產清冊檢視會在全球範圍內，精確顯示哪些軟體版本部署到哪些產品。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，而不必從版本說明與試算表中拼湊答案。

以 CRACI 取代 FOSSA

就您自行建置的軟體而言，CRACI 從源頭涵蓋了 FOSSA 的 SBOM 與漏洞功能所做的事。它執行您的 GitHub Actions 作業、記錄每次建置的 SBOM、在新漏洞公開時持續重新評估受監控的 SBOM、跨建置與儲存庫彙整檢測結果，並讓資安團隊研判這些結果，再將每一項轉交給負責修正的團隊。您也可以加入廠商 SBOM，讓外購的元件與您自己的建置一併監控。無需維護另外的 CLI 步驟。

請清楚了解您會放棄什麼。FOSSA 的授權合規相當成熟：政策、授權全文偵測、著作權資訊擷取與歸屬聲明。CRACI 會匯出每個元件宣告的授權並強制執行授權政策，包括依授權封鎖建置；FOSSA 的偵測與歸屬產出則更進一步。CRACI 也沒有程式碼片段或二進位檔掃描、沒有 SBOM 分享入口網站，而且目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。如果授權合規是您最關心的事，請保留 FOSSA。

關於 Cyber Resilience Act

FOSSA 發布了 Cyber Resilience Act（CRA）指引。其對 SBOM 要求的摘要是：製造商須以常用且機器可讀的格式製作 SBOM，涵蓋「至少產品的最上層相依套件」，並作為技術文件的一部分與市場監督機關分享。FOSSA 將匯入、產生、漏洞分析，以及與主管機關的安全分享，定位為其對 CRA 的協助。

最上層相依套件是最低標準，而非目標。遞移套件中的漏洞仍然存在於您的產品中。CRA 的通報義務自 2026 年 9 月 11 日起適用，遭積極利用的漏洞須在 24 小時內發出早期預警，其主要條款則自 2027 年 12 月 11 日起適用。CRACI 會記錄每次建置使用的完整相依套件集合，透過其 API 回傳 SBOM、網路追蹤記錄與來源證明，並以 CycloneDX 或 SPDX 格式匯出包含漏洞的 SBOM。

CRACI 可自動化企業在更廣泛的 CRA 法規遵循流程中所需之軟體供應鏈可視性與佐證資料中相當大的一部分。兩項產品都無法單獨讓製造商合規。請參閱 CRA 的要求與以 CRACI 達成 CRA 法規遵循。

CRACI 與 FOSSA：常見問題

取代 FOSSA、價格、SBOM 格式與 CI 支援

CRACI 是 FOSSA 的替代方案嗎？

是的，就您所建置軟體的 SBOM 與漏洞監控而言。CRACI 執行您的 GitHub Actions 作業、記錄每次建置的 SBOM、持續重新評估受監控的 SBOM，並讓資安團隊研判檢測結果，再轉交給負責的團隊。FOSSA 在開源授權合規方面仍然領先，因此如果這是您最關心的事，請保留 FOSSA。

CRACI 是取代 FOSSA，還是與它並用？

就您自己的軟體而言，CRACI 會取代它：CI、SBOM 與漏洞追蹤都在同一個產品中，無需維護另外的 CLI 步驟。您放棄的是 FOSSA 成熟的授權合規功能（授權全文偵測、著作權資訊擷取與歸屬聲明）、其程式碼片段與二進位檔掃描附加元件，以及其 SBOM Portal。

CRACI 的價格與 FOSSA 相比如何？

截至 2026 年 9 月，FOSSA 的 Free 方案涵蓋 5 個專案與 5 份匯入的 SBOM，Business 方案為每個專案每月 $20、按年計費，Enterprise 則為客製化報價。CRACI 只按建置分鐘數收費：每 vCPU 分鐘 $0.002（預設 2 vCPU 執行器為 $0.004），按秒計費，無月費，也不按 SBOM 收費。最新條款請參閱價格方案。

FOSSA 與 CRACI 支援哪些 SBOM 格式？

兩者都可匯出 SPDX 與 CycloneDX。FOSSA 可在其 SBOM 中加入 VDR 或 VEX 聲明。CRACI 匯出的每份建置 SBOM 都包含遞移相依套件與每個元件宣告的授權，並說明每個作業與每個快取的記錄完整程度，且支援 VEX。

CRACI 能像 FOSSA 一樣追蹤供應商 SBOM 嗎？

可以。您可以將廠商 SBOM 加入 CRACI，這些外購的元件會與您建置的軟體一併監控。FOSSA 可匯入 SPDX 與 CycloneDX 檔案，並對其套用 SBOM 政策，例如要求符合 NTIA 與 FDA 的最低要素。

FOSSA 與 CRACI 支援哪些 CI 系統？

FOSSA CLI 在您的 CI 中執行，可與超過 20 種建置系統整合。CRACI 目前是 GitHub Actions 的執行器；其他 CI 系統已列入產品藍圖，包括 GitLab CI 與 Jenkins。

CRACI 對 Cyber Resilience Act 有幫助嗎？

有。CRACI 會記錄每次建置使用的完整相依套件集合，而不只是最上層的相依套件；透過其 API 回傳 SBOM、網路追蹤記錄與來源證明；並為您準備 CRA 漏洞通報的內容，供您提交。它可自動化您的 CRA 流程所需之供應鏈可視性與佐證資料中相當大的一部分；兩項產品都無法單獨讓製造商合規。預約示範，將 CRACI 的 SBOM 與您目前管理的 SBOM 比較。