SBOMApp - SBOM Generator & Vulnerability Scanner

SBOM for VS Code by SBOMApp！

“代码由 AI 编写，现在来审查其中的内容”

SBOM MCP Server - SBOMApp MCP Server 将软件供应链安全助手带入 VS Code。只需输入简单的自然语言提示词，开发者即可立即生成 SBOM（SPDX/CycloneDX）、扫描 CVE、验证许可证合规性，并获取可执行的修复指导。

无需切换工具，无需手动编写脚本，所有操作都在编辑器中完成，让你保持高效、安全并专注于工作。

团队选择 SBOMApp MCP 的原因：

端到端可视性：从本地工作区或 Git 仓库生成完整的 SBOM（包括传递依赖），然后将其附加到构建和发布中。

可执行的安全分析：运行漏洞扫描，深入查看 CVE 详情，并获取修复版本和升级路径。

清晰的许可证信息：通过便于审计的摘要，尽早识别 copyleft 和其他高风险许可证。

原生支持 Copilot + MCP：可在 Agent Mode 中自然使用，例如输入“生成 SBOM”“扫描漏洞”等提示词。

轻松上手：开始 7 天免费试用，或使用 VS Code 安全存储的令牌连接企业服务。

专为注重安全的工程组织打造：无论你是在交付受监管的软件、强化 SDLC，还是准备响应客户的 SBOM 请求，SBOMApp MCP 都能提供团队所需的 SBOM、CVE 和许可证信息。

绝对隐私保证！

我们绝不会存储你的代码、SBOM、依赖项或任何项目数据。 我们只会安全存储你的电子邮箱（用于免费试用）和 API 令牌。其他所有内容都完全保留在你的计算机上。

SBOMApp MCP Server

连接远程 SBOM MCP 服务，以执行软件物料清单分析、漏洞扫描、开源许可证详情查询和依赖项管理。

快速入门指南

第 1 步：安装扩展

1. 打开 VS Code
2. 前往扩展（Ctrl+Shift+X 或 Mac 上的 Cmd+Shift+X）
3. 搜索 "SBOMApp MCP Server"
4. 点击 Install

或直接从 VS Code Marketplace 安装

第 2 步：免费试用——立即开始！

新用户可免费试用 90 天，获得 100 个令牌，无需信用卡！

自动注册试用：

1. 安装扩展
2. 首次启动时，系统会提示你开始免费试用
3. 输入你的电子邮箱地址
4. 系统会自动配置你的 API 密钥——现在即可开始使用！

激活试用只需简单几步！

先决条件：Visual Studio Code 应已安装并启用语言模型。

• 点击 SBOM MCP 状态栏！

• 点击开始免费试用选项，

• 点击开始免费试用弹出窗口，

• 输入你的工作邮箱并按 Enter，

• 注册成功后，你会收到试用激活通知！

• 使用命令 "CTRL+SHIFT+P" 重新加载窗口，或点击 "Command Palette" 并选择 "Developer:Reload Window"，以刷新 MCP Server！

试用功能：

功能	试用版
有效期	90 天
令牌请求次数	100 个令牌
SBOM 生成	是
漏洞扫描	是

升级到 Pro：

试用期结束或令牌用尽后，请前往 https://payment.sbomapp.com 或 https://sbomapp.com 升级。

手动配置（企业用户）：

如果管理员为你提供了许可证密钥：

1. 按 Ctrl+Shift+P → "SBOMApp: Configure Remote Server"
2. 输入你的 服务器 URL：https://mcp.sbomapp.com/mcp
3. 输入你的 API Key

第 3 步：测试连接

1. 再次按 Ctrl+Shift+P
2. 输入 "SBOMApp: Test Connection" 并按 Enter
3. 你应该会看到一条成功消息，其中显示可用工具的数量

第 4 步：重启 VS code。

此步骤为必需！测试完凭据和连接后，请重启 VS Code。

第 5 步：在聊天框中开始使用“@sbomapp”

连接成功后（状态栏显示绿色 ✓），你可以向 GitHub Copilot 提问：

注意： 使用 SBOMApp MCP 前，请确保已在 VS Code 中导入项目。

"@sbomapp/help"
"@sbomapp Generate an SBOM for my current project or 
Generate an SBOM for my current project".
"@sbomapp scan vulnerabilities" or "Check if lodash 4.17.0 has any security vulnerabilities" 

---

功能

• 轻松配置：通过简单的设置向导连接到 SBOM MCP 服务
• 安全身份验证：使用 Bearer 令牌进行身份验证，并安全存储
• 连接测试：使用前验证与服务的连接
• 状态栏指示器：一目了然地查看连接状态
• 工具浏览器：查看所有可用的 SBOM 分析工具
• 直接使用工具：在聊天中输入“@sbomapp Generate SBOM for my current project”即可使用！

命令

命令	描述
SBOMApp: Start Free Trial	注册 7 天免费试用
SBOMApp: Check Trial Status	查看剩余令牌和到期时间
SBOMApp: Check Token Usage	查看详细的令牌使用统计信息
SBOMApp: Configure Remote Server	设置服务 URL 和 API 密钥
SBOMApp: Test Connection	验证与服务的连接
SBOMApp: Show Available Tools	浏览可用的 SBOM 分析工具
SBOMApp: Disconnect	断开与服务的连接

配置

此扩展提供以下设置：

设置	描述	默认值
sbomRemoteMcp.serverUrl	远程 SBOM MCP 服务的 URL	（空）
sbomRemoteMcp.apiKey	用于身份验证的 API 密钥	（空）
sbomRemoteMcp.autoConnect	VS Code 启动时自动连接	true
sbomRemoteMcp.showStatusBar	在状态栏中显示状态	true

可用工具

连接后，你可以通过 GitHub Copilot 使用这些 SBOM 分析工具：

工具	描述
sbomapp_generateSbomFromWorkspace	为你的当前项目生成 SBOM、扫描漏洞、分析依赖项并检查许可证
generate_sbom	为项目生成完整的 SBOM 和漏洞报告
scan_vulnerabilities	扫描项目中的安全漏洞并提供 CVE 详情
analyze_dependencies	分析所有依赖项，包括类型、许可证和风险评估

提示： 只需在 Copilot 聊天中输入“generate sbom”“scan vulnerabilities”或“analyze dependencies”，扩展就会自动分析当前项目！

SBOM 和漏洞生成后的 Copilot 提示示例

试着向 Copilot 提出以下问题：

• “修复上述已发现的漏洞”
• “将 component_1 替换为合适的安全组件”

要求

• VS Code 1.106 或更高版本
• 可访问正在运行的 SBOM MCP 服务
• 有效的 API 密钥，用于身份验证

获取 API 密钥

选项 1：免费试用（推荐个人用户使用）

• 启动扩展并按照试用注册提示操作
• 或运行命令：SBOMApp: Start Free Trial
• 试用内容：90 天、100 个令牌

选项 2：购买 Pro 许可证

• 访问 https://payment.sbomapp.com 或 https://sbomapp.com 购买
• 获取令牌和高级功能
• API 密钥会立即通过电子邮件发送

选项 3：企业许可证

• 联系你的 SBOM MCP 服务管理员
• 电子邮件：[email protected]

故障排除

连接失败

• 确认服务 URL 正确（应以 /mcp 结尾）
• 检查服务是否正在运行且可访问
• 确保 API 密钥有效且未过期
• 检查防火墙是否允许连接

工具无法运行

• 确保已建立连接（状态栏中显示绿色 ✓）
• 检查 VS Code MCP 设置是否配置正确
• 尝试断开连接后重新连接
• 如果问题仍然存在，请重启 VS Code

状态栏未显示

• 检查设置中是否启用了 sbomRemoteMcp.showStatusBar
• 尝试重新加载 VS Code（Ctrl+Shift+P → “Reload Window”）

检查令牌使用情况

• 点击状态栏中的“SBOM MCP” → 选择“Check token Usage”
• 在输出面板中查看详细的使用统计信息

检查试用状态

• 点击状态栏中的“SBOM MCP” → 选择“Check Trial Status”
• 查看剩余令牌、剩余天数和升级选项
• 状态栏显示试用信息：✓ SBOM MCP [Trial: 450]

试用已过期或令牌已用尽

• 状态栏显示： SBOM MCP [Trial Expired]
• 点击弹出窗口中的“Upgrade Now”以购买 Pro 许可证
• 或运行命令：SBOMApp: Configure Remote Server 以输入新的 API 密钥
• 前往以下网址升级：https://payment.sbomapp.com 或 https://sbomapp.com

身份验证错误

• 确认 API 密钥正确
• 确保 API 密钥具有适当的权限
• 如果密钥最近已轮换，请联系管理员

隐私与安全

• API 密钥存储在 VS Code 的安全存储中
• 所有通信均使用 HTTPS（如果已配置）
• 不会向第三方发送任何数据
• 绝不会记录或导出凭据

支持

• 📧 电子邮件：[email protected]