功能
Stella Ops 做什么
Stella Ops 以证据推进容器发布：哪些漏洞真正可以执行、每个发布为何获批，以及日后可再次核验的证明——覆盖 Docker Compose 与普通主机，联网或完全离线均可。
v1.0-RC1，候选发布。套餐从不限制功能——发行版中的每项能力在所有套餐中均可使用；限制的是环境数量与扫描量。
基础层
部署与漏洞扫描是内建能力：发布可以投放到 Docker Compose、Swarm 及 SSH/WinRM 主机；每个镜像都会生成 SBOM、进行公告匹配并通过策略闸门。任何严肃的工具都覆盖这一层。接下来是仅靠基础层做不到的事。
已证实可达的风险拦下发布——未证实的保持可见
可达性将可执行的漏洞与仅存在于镜像中的漏洞区分开来。每个图都经过签名，因此证明会随着发现而移动，而不是停留在工具内部。 Reachability分析证明易受攻击的代码是否确实被您的应用程序调用——过滤扫描器噪声中的误报
- → 三层证据：静态呼叫图、二进制符号存在、运行时观察
- → 静态调用图支持：Go、Java 与 .NET 为编译器级；Python、JavaScript、TypeScript、Rust、PHP 与 Ruby 基于源文本
- → 图谱封DSSE——确切的呼叫路径，签名而非断言
每个决策都带着可以重新运行的证明
每个判定都是从冻结的输入——数据流快照、分析器版本、策略规则——确定性地计算出来，并封存于 DSSE 信封中，由一把从不离开你安装环境的密钥签署。验证依据你配置的信任根进行，缺失时直接失败。几个月后再运行一次：输出匹配，或者断言大声失败。 DSSEDead Simple Signing Envelope - 用于以加密签名签署任意数据的简单灵活标准 Decision Capsule签名的可导出证据包，封装发布决策的每个输入和输出，用于离线审计和确定性重放
- → 冻结输入：输入带有Merkle根、分析器版本和策略哈希的快照
- → DSSE对输入、证据和输出的信封——每个决策一个内容寻址的胶囊
- → 重播是一个带有通过或不通过结果的验证步骤，而不是旧报告的截图
$ stella replay verify --manifest run-manifest.json
该命令将运行清单执行两次并比较判定摘要。结果一致则以退出码 0 结束；任何差异都会被列出，命令随即失败。
产品控制台显示的命令（v1.0-RC1）。
证据缺失时，判定会明确说明：未知项被记录为带审查窗口的开放状态——绝不粉饰。 未知数据的追踪方式 →
拔掉网线，一切照常运行
离线模式不是降级模式。密封的知识快照——包括咨询信息流、政策、信任材料，且有默克尔的根源——作为一个包跨越边界，每个判定都记录了其推理快照，因此一个空隙决策在空白外会完全一致地重放。
- → 离线更新套件：订阅源、撤销列表和本地透明镜像
- → 判定引用了他们的快照，因此决策时已知的事实有准确答案
- → 区域密码学以可选配置文件交付——FIPS、GOST、SM、eIDAS——让签名符合必须接受它们的司法辖区。
产品中还有
以下每一项都是独立的能力。这里只写一行；完整内容一次点击即达。
环境监视 → 每台主机上运行的摘要都会与签名决策批准的摘要比对；漂移会被揭示，绝不静默抹平。
VEX 决策 → 来自多个发布者的声明按权重合并并保留来源；分歧被记录为冲突，而非压制。
Smart-Diff → 两个发布之间，审查时间用于真正有意义的变化，而不是重新数一遍发现。
未知项跟踪 → 缺失的证据被分入 HOT、WARM、COLD 档位并附审查窗口，直至解决。
合规包 → 将监管链证据映射到 NIS2、DORA 与 CRA 义务——仅收集证据，已知缺口均有标注。
摘要优先身份 → 发布是一组不可变的 OCI 摘要；拉取时不匹配即令部署失败。
部署策略 → 金丝雀、滚动与蓝绿部署，有代理或无代理，可回滚到已知良好的摘要。
集成 → 连接器可插拔；证据链保持稳定——更换连接器绝不改变胶囊所证明的内容。
运维 → 一套发布模型覆盖异构目标，例行操作可离线执行，控制权留在您的环境内。
30 分钟内你能获得什么
安装
Docker Compose 配置
扫描
SBOM加可达性
门
摘要的政策结论
导出
签名Decision Capsule
免费版：3 个环境，且每滚动 24 小时最多 100 次新摘要扫描，包含所有功能。
准备好证据级发布了吗？
使用 Docker Compose 安装并运行您的第一个经过验证的晋级活动。