OSV-Scanner 的最佳工作方式，是让漏洞扫描贴近依赖证据

一篇关于 OSV-Scanner 的架构札记，主张它有用的边界在于以证据为先的漏洞匹配：从 lockfile、manifest、SBOM、源码树和容器 artifact 中提取软件包，再与 OSV 按软件包和 commit 建模的数据库匹配；随后把配置、调用分析和修复建议作为分诊层，而不是把 scanner 输出直接当成最终风险决策。