比較
CRACI vs Legit Security
Legit Security 監看您的軟體工廠如何設定與治理。CRACI 則是您建置所執行的機器，並會記錄該次建置實際做了什麼。
更新日期
簡短的答案
Legit Security 是一個應用程式資安態勢管理（ASPM）平台。它連接您的原始碼控管、CI、套件庫與掃描器，描繪您的軟體開發生命週期，在整個生命週期中落實政策，並將資安檢測結果彙整到單一、已排定優先順序的檢視中。CRACI 則是一個 GitHub Actions 執行器，會記錄每次建置取用的內容、控制建置能連線到哪裡，並持續監控已出貨的內容。Legit 從外部治理管線；CRACI 則是管線的執行層。兩者的客戶都是肩負「保護我們軟體供應鏈」任務的團隊，有些團隊會兩者都需要。
一覽表
| 功能 | CRACI | Legit Security |
|---|---|---|
| 執行您的建置 | 作業在 CRACI 執行器上執行 | 連接您的 SCM 與 CI 系統 |
| 從建置記錄相依套件 | 觀察實際的取用，包括來自 CI 快取的套件 | 原生 SCA，加上您所執行掃描器的檢測結果 |
| 建置網路對外連線政策 | 預設拒絕或允許，失效即封鎖 | 不在其範圍內：Legit 不執行建置 |
| SBOM 匯出 | 每次建置皆有，並依作業與快取標示完整性 | 建立並匯出 SBOM |
| 已簽署的來源證明 | 不提供已簽署的來源證明 | 已簽署的軟體證明 |
| SDLC 與管線態勢 | 描繪 SDLC 系統、管線與資安控制措施 | |
| SAST 與機密偵測 | 原生 SAST 與機密掃描 | |
| 整合其他掃描器 | 關聯並去除既有掃描器檢測結果的重複項目 | |
| 法規遵循報告 | CycloneDX 或 SPDX 格式的 SBOM，透過 API 取得記錄；不提供報告匯出 | ISO 27001、SSDF、SLSA、SOC 2 等 |
| CI 系統 | 目前支援 GitHub Actions；GitLab CI 與 Jenkins 已列入產品藍圖 | GitHub Actions、GitLab CI、Jenkins、Azure DevOps Pipelines、CircleCI 等 |
- 支援
- 部分支援
- 不支援
Legit Security 的強項
看見整個 SDLC。Legit 的軟體供應鏈安全產品旨在「自動探索並關聯您的整個 SDLC」，持續更新 SDLC 資產及其資安控制措施的資產清冊，並提供系統與管線的視覺化模型。對於接手數百個儲存庫與數套 CI 系統的資安團隊來說，這張地圖本身就很有價值。
跨多個系統的政策。Legit 表示它落實了數百項政策，以保護 SDLC 系統、CI/CD 管線、程式碼與團隊。其整合清單相當廣泛：原始碼控管有 GitHub、GitLab、Bitbucket 與 Azure DevOps；CI 有 GitHub Actions、GitLab CI、Jenkins、CircleCI、TeamCity 等；容器與套件庫有 JFrog Artifactory 與 Sonatype Nexus 等；另外還有雲端平台。
單一的檢測結果檢視。Legit 會協調 Snyk、Checkmarx、Veracode 與 GitHub Advanced Security 等既有掃描器，再關聯並去除其檢測結果中的重複項目。它也提供原生 SAST 與 SCA，並於 2025 年加入可達性分析與授權風險偵測。
機密與 AI 產生的程式碼。其機密偵測不只涵蓋原始碼，還延伸到 Git 歷史、建置日誌，以及 Slack、Confluence 與 Jira 等共用工作空間。VibeGuard 將其檢查帶進 IDE，用於 AI 產生的程式碼。Legit 也發布了 Legitify，這是一款採 Apache 2.0 授權的開源工具，可找出不安全的 GitHub 與 GitLab 設定。
SBOM 與證明。Legit 可建立 SBOM 與已簽署的軟體證明，並支援依據 ISO 27001、SSDF、SLSA、NIST、SOC 2 與 PCI DSS 等框架產生法規遵循報告。
CRACI 的不同之處
態勢管理平台透過 API 讀取設定與掃描器輸出。它能告訴您某條管線的設定方式有風險，卻無法看到作業執行時的網路流量，因為它不是作業執行的那台機器。CRACI 才是。
建置就是真實依據
只要在 runs-on 修改一行，您的工作流程就能移到 CRACI。接著，具備套件感知能力的代理伺服器會記錄每個作業從套件來源下載的內容，涵蓋 npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk 與 Git 來源，而從 CI 快取還原的套件也會一併延續記錄。每份 SBOM 都會依作業與快取標示其完整程度：Complete、Complete with connections、Incomplete、Unavailable 或 Not recorded。SBOM 描述的是建置實際取用的內容，而不是 manifest 聲稱應該取用的內容。
不只是可視性，還有控制
執行器上的對外連線（egress）政策會決定作業可以連線到哪些主機。政策可設為預設拒絕或預設允許，並提供 24 個內建軟體來源預設組態與具型別的自訂來源。政策會在作業開始前經過驗證，採失效即封鎖（fail closed），並在違反時發出警示。態勢檢測結果會告訴您要修正某項設定；對外連線政策則會在建置執行當下阻止連線。
來自建置的佐證資料
API 會回傳 SBOM、網路追蹤記錄與來源證明（provenance）。CRACI 不會簽署來源證明。每當有新漏洞公開，它都會持續重新評估受監控的 SBOM，並跨建置與儲存庫彙整檢測結果。
CRACI 不做的事在這裡同樣重要。它沒有 SAST、沒有機密掃描、沒有 SDLC 資產清冊，也不彙整掃描器結果；目前僅支援 GitHub Actions，GitLab CI 與 Jenkins 已列入產品藍圖。
部署在哪裡的資產清冊
CRACI 的資產清冊檢視會在全球範圍內，精確顯示哪些軟體版本部署在哪些產品上。當新漏洞出現時，您可以直接看到哪些產品執行受影響的版本，而不必從版本說明與試算表中拼湊答案。
哪一個適合您，以及何時兩者並用
- 您使用多套 SCM 與 CI 系統，需要單一的治理層。選擇 Legit。它橫跨 GitHub、GitLab、Bitbucket、Azure DevOps、Jenkins 等的廣度正是重點所在。
- 您需要證明每個版本納入了哪些內容。選擇 CRACI。記錄來自執行器，並標示完整性狀態。
- 遭入侵的套件在建置期間試圖對外回報。CRACI 的對外連線政策會封鎖允許來源以外的連線。Legit 針對您 SDLC 的臨時查詢，則有助於後續的調查。
- 您已在使用 Legit，並在 GitHub Actions 上建置。繼續用 Legit 處理態勢、機密與檢測結果。將您出貨內容的建置移到 CRACI 執行器，讓 SBOM、來源證明與網路記錄直接來自建置本身。
針對 CRA
Cyber Resilience Act（CRA）要求製造商記錄產品中的元件（包括 SBOM），並在產品受支援期間持續處理漏洞。遭積極利用漏洞的通報義務自 2026 年 9 月起適用。Legit 的協助方式是治理開發流程並回報資安態勢。CRACI 的協助方式則是針對每次建置，產生每個版本納入內容的佐證資料，並提供來源證明、持續監控，以及 CycloneDX 或 SPDX 格式的 SBOM 匯出。CRACI 將企業在更廣泛的 CRA 法規遵循流程中所需的軟體供應鏈可視性與佐證資料，有相當大的部分自動化；但兩項工具都無法單獨讓產品符合法規。請閱讀 CRA 的要求，以及 CRACI 如何支援 CRA 法規遵循。
在 Legit Security 之外加入 CRACI
在建置您出貨內容的工作流程上設定 runs-on: craci。CRACI 取代的是執行器，而不是 GitHub Actions，因此儲存庫與工作流程都留在 GitHub，執行結果也仍會顯示在 GitHub 介面中。CRACI 會以 CycloneDX 與 SPDX 格式匯出 SBOM，供任何能接收這些格式的工具使用。使用 GitLab、Jenkins 或 Azure DevOps 管線的團隊，需要將那些建置移到 GitHub Actions，才能使用 CRACI 執行器。GitLab CI 與 Jenkins 已列入產品藍圖。進一步了解
建置時 SBOM 產生與
CI/CD 整合。
正在評估兩種以上的工具嗎？Legit Security 替代方案並排比較了九種選項。