trivy

Trivy 是一款全能型的安全扫描工具，能帮你快速发现容器镜像、文件系统、Git仓库、虚拟机镜像、Kubernetes等目标中的各种安全风险，包括已知漏洞、配置错误、敏感信息泄露和软件许可问题。它解决的痛点非常实际：现代应用涉及大量依赖和基础设施，安全漏洞往往散落在不同层面，手动排查费时费力。Trivy 相当于一个“安全探测器”，一键扫描就能给出清晰报告，极大降低了安全运维的门槛。 技术亮点上，Trivy 拥有多重扫描引擎，可以同时检测操作系统漏洞、应用依赖漏洞、IaC（基础设施即代码）错误配置甚至硬编码的密钥。它支持生成SBOM（软件物料清单），方便你对软件供应链进行溯源。同时，Trivy 的扫描速度非常快，因为它采用了高效的漏洞数据库缓存和增量更新机制，而且支持离线模式，适合内网环境。它还覆盖了几乎所有主流编程语言（Java、Python、Go、Node.js等）和操作系统（Alpine、Debian、Ubuntu等），扩展性很强。 适用场景非常广泛。如果你是开发人员，可以在CI/CD流水线中集成Trivy，让每次构建都自动扫描镜像安全；如果你是运维或安全工程师，可以用它定期扫描Kubernetes集群或虚拟机镜像，及时发现配置风险和失密密钥；对于需要做合规审计的团队，Trivy 还能识别证书过期、不安全的镜像标签等问题。可以说，任何涉及容器、K8s或代码仓库的团队都能从中受益。 上手难度极低。Trivy 提供了macOS、Linux、Windows的二进制包，一行命令即可安装：brew install trivy 或者 docker run aquasec/trivy。使用也很简单，比如扫描本地镜像：trivy image nginx:latest。不需要额外配置，几分钟就能产出安全报告。它还支持GitHub Actions、VS Code插件、Kubernetes Operator等多种集成方式，新手完全可以直接在现有工作流里用起来。即使你没接触过安全工具，跟着官方文档走一遍也毫无压力。