cra/

Package dossier lit et écrit le dossier CRA d'un dépôt : cra/product.toml, VEX CycloneDX et signalements, ainsi que le calcul des échéances de signalement.

Package osv lit la base de vulnérabilités OSV hors ligne (une archive all.zip par écosystème) et rapproche les composants d'un SBOM de ses entrées.

Package report produit le dossier technique CRA exportable (HTML et JSON).

Package sbom lit les SBOM CycloneDX JSON et analyse les package-URL (purl).

Package scan rapproche les composants des SBOM de la base OSV et applique le VEX du dossier.

Package version compare des versions de composants selon les règles de leur écosystème (semver, PEP 440), pour évaluer les plages de versions OSV.