为项目建立出处和完整性

可以从依赖项关系图导出存储库的软件物料清单 (SBOM)。 SBOM 允许透明化open source使用情况，并帮助暴露供应链漏洞，降低供应链风险。