#tool

syft 是 Anchore 出的 SBOM 生成器，单文件 89968640 字节，不需要 Docker daemon，扫目录就行。实测 400 MB、16120 个文件的 Python 环境：13.80 秒扫出 130 个条目（去重 122 个包），其中 107 个 python、23 个 binary。默认 json 输出 10023874 字节，换 cyclonedx-json 只有 5499250 字节。

hyperfine 是命令行的基准测试工具，Rust 写的单文件 exe。给几条命令各跑几十轮，输出均值、标准差、最快最慢和相对百分比。实测这台机器上的启动开销：cmd 142.8 毫秒、hadolint 155.4 毫秒、Node 181.5 毫秒、Python 482.6 毫秒，Python 是 cmd 的 3.4 倍。轮数不是越多越准，跑 50 轮的均值反而比 3 轮高。