不管是源代码文件的SCA检测工具还是二进制文件的SCA检测工具，他们是一种互补的关系，各有各的优缺点，比如二进制文件的SCA检测能发现构建过程中工具链引入的安全问题，而源代码的SCA则不能，SolarWinds事件就很好的说明了这一点。
目前SCA工具检测开源软件的已知漏洞是基于组件名称+版本号来关联出已知漏洞的，对部分编译场景（只有部分组件代码被编译到二进制文件中）和patch打补丁场景（漏洞已修复），误报率高。
SCA工具扫描效率和准确性是一对矛盾体，这是工具厂商需要权衡考虑的地方，而既能提升准确率又不会降低扫描效率的技术永远是SCA工具厂商研究的课题和追求的目标。
注1：Top 10开源软件编程语言：JavaScript(51%)、C++(10%)、Java(7%)、Python(7%)、Ruby(%5)、Go(4%)、C(4%)、PHP(4%)、TypeScript(4%)、C#(3%)、Perl(2%)、Shell(1%)
注2：软件包是指产品用来安装、运行的发布包，里面包含了产品编译好的可以运行的二进制文件，比如.so/.jar/.exe/.dll/.pyc
注3： a.License风险管理；b.漏洞识别；c.主动式漏洞管理；d.策略管理；e.SDLC集成；f.容器和无服务器扫描； g.审计报告；h.风险报告；i.修复速度报告；j.厂商自行分析；