在Go应用中多次调用Anchore syft库命令失败的求助

我尝试在Go应用中嵌入Anchore syft库，为多个容器生成CycloneDX SBOM。以下函数首次调用可正常执行，但后续调用cobra命令的Execute方法时会失败并触发错误：

func generateCycloneDX(ociArchiveName string, jsonOutputName string) {
    syftId := clio.Identification{Name: "syft"}
    syftCommand := cli.Command(syftId)
    syftCommand.SetArgs([]string{ociArchiveName, "-o", jsonOutputName})
    err := syftCommand.Execute()
    if err != nil {
        panic(err)
    }
}

错误信息：

panic: replace existing redaction store (probably unintentional)

goroutine 1 [running]:
github.com/anchore/syft/internal/redact.Set(...)
        go/pkg/mod/github.com/anchore/syft@v0.93.0/internal/redact/redact.go:11
github.com/anchore/syft/cmd/syft/cli.create.func2(0xc000490a90?)
        go/pkg/mod/github.com/anchore/syft@v0.93.0/cmd/syft/cli/cli.go:64 +0x1a5
github.com/anchore/clio.(*application).runInitializers(0xc0013bc1a0)
        go/pkg/mod/github.com/anchore/clio@v0.0.0-20231016125707-b60d41410795/application.go:110 +0x66
github.com/anchore/clio.(*application).PostLoad(0xc0013bc1a0)
        go/pkg/mod/github.com/anchore/clio@v0.0.0-20231016125707-b60d41410795/application.go:105 +0xbb
github.com/anchore/fangs.postLoad({0x1f81f40?, 0xc0013bc1a0?, 0xc0013bc1a0?})
        go/pkg/mod/github.com/anchore/fangs@v0.0.0-20230818131516-2186b10924fe/load.go:201 +0x1e5
github.com/anchore/fangs.loadConfig({{0x26109f8, 0x349e4e0}, {0x1ff3df6, 0x4}, {0x2004cda, 0xc}, {0x0, 0x0}, {0xc002b25e30, 0x5, ...}}, ...)
        go/pkg/mod/github.com/anchore/fangs@v0.0.0-20230818131516-2186b10924fe/load.go:80 +0x7d1
github.com/anchore/fangs.Load({{0x26109f8, 0x349e4e0}, {0x1ff3df6, 0x4}, {0x2004cda, 0xc}, {0x0, 0x0}, {0xc002b25e30, 0x5, ...}}, ...)
        go/pkg/mod/github.com/anchore/fangs@v0.0.0-20230818131516-2186b10924fe/load.go:16 +0x74
github.com/anchore/clio.(*application).loadConfigs(0xc0013bc1a0, 0xc000033870?, {0xc0004909f0, 0x1, 0xc0013b2700?})
        go/pkg/mod/github.com/anchore/clio@v0.0.0-20231016125707-b60d41410795/application.go:95 +0x1a5
github.com/anchore/clio.(*application).setupCommand.func1.(*application).Setup.func1(0x4?, {0xd631f2?, 0xc0013b2700?, 0xc000033af0?})
        go/pkg/mod/github.com/anchore/clio@v0.0.0-20231016125707-b60d41410795/application.go:74 +0x45
github.com/anchore/clio.(*application).setupCommand.func1(0xc0013b2700?, {0xc002e20870, 0x1, 0x3})
        go/pkg/mod/github.com/anchore/clio@v0.0.0-20231016125707-b60d41410795/application.go:316 +0x82
github.com/spf13/cobra.(*Command).execute(0xc000845200, {0xc002e20660, 0x3, 0x3})
        go/pkg/mod/github.com/spf13/cobra@v1.7.0/command.go:925 +0x7f6
github.com/spf13/cobra.(*Command).ExecuteC(0xc000845200)
        go/pkg/mod/github.com/spf13/cobra@v1.7.0/command.go:1068 +0x3a5
github.com/spf13/cobra.(*Command).Execute(...)
        go/pkg/mod/github.com/spf13/cobra@v1.7.0/command.go:992

我找不到重置cobra命令以支持多次调用的方法，请问是否可行？

问题出在syft内部的全局状态（redaction store），首次调用后已经初始化，后续重复设置就会触发panic——syft的CLI命令本来是给单次执行设计的，反复创建新命令并执行会撞全局资源。

有两种可行的解决思路：

1. 复用已初始化的命令（有限场景可用） #

如果生成SBOM时只有输入输出路径变化，可以在程序启动时初始化一次命令，后续调用仅更新参数：

var syftCmd *cobra.Command

func init() {
    syftId := clio.Identification{Name: "syft"}
    syftCmd = cli.Command(syftId)
}

func generateCycloneDX(ociArchiveName string, jsonOutputName string) {
    syftCmd.SetArgs([]string{ociArchiveName, "-o", jsonOutputName})
    // 重置命令的输出/错误流，避免残留状态
    syftCmd.SetOut(os.Stdout)
    syftCmd.SetErr(os.Stderr)
    err := syftCmd.Execute()
    if err != nil {
        panic(err)
    }
}

这种方式可能存在隐藏的全局状态问题，需要实际测试验证稳定性。

2. 直接调用syft核心API（推荐方案） #

绕开CLI层，直接使用syft的核心扫描功能，彻底避开全局状态冲突，这也是嵌入场景的最佳实践：

import (
    "os"
    "github.com/anchore/syft/syft"
    "github.com/anchore/syft/syft/formatters/cyclonedxjson"
    "github.com/anchore/syft/syft/source"
)

func generateCycloneDX(ociArchiveName string, jsonOutputName string) {
    // 构建OCI归档源
    src, err := source.NewFromOCIArchive(ociArchiveName, source.DefaultOCIArchiveOptions())
    if err != nil {
        panic(err)
    }
    defer src.Close()

    // 执行扫描
    catalog, distro, err := syft.Scan(src)
    if err != nil {
        panic(err)
    }

    // 生成CycloneDX JSON格式SBOM
    output, err := cyclonedxjson.Format(catalog, distro)
    if err != nil {
        panic(err)
    }

    // 写入输出文件
    err = os.WriteFile(jsonOutputName, output, 0644)
    if err != nil {
        panic(err)
    }
}

这种方式完全脱离CLI的全局初始化逻辑，支持无限制多次调用，也更符合嵌入应用的设计需求。

3. 隔离全局状态（不推荐） #

如果必须使用CLI命令，理论上可以通过反射重置syft的全局状态，但需要修改内部私有变量，维护成本极高；或者每次调用都启动独立进程执行syft命令，但会带来额外性能开销，这两种方式都不推荐。

综上，最优方案是直接使用syft的核心API，既解决状态冲突问题，又能获得更灵活的控制能力。

内容的提问来源于stack exchange，提问作者Cowardly Snake