软件物料清单在事件中怎么用：用来缩小范围而非代替验证

软件物料清单可以快速指出可能关联的组件，但它反映的是生成时的状态，仍需与当前制品和部署环境核对。

从组件关系开始筛选

按组件名、版本、直接或间接依赖和制品标识筛选候选范围。保留无法匹配的别名、打包方式和自定义构建信息。

验证清单的新鲜度

确认清单对应的构建时间、仓库提交和镜像摘要。若运行环境已发生热修复或手工变更，应补充运行时证据。

供应链判断可参考软件供应链告警判断；镜像验证见容器镜像补丁后怎么确认。