Trivy 漏洞扫描器流水线

要解决的问题

容器镜像、IaC 模板（如 Terraform、Kubernetes 清单）和 SBOM 工件往往分散在流水线的不同阶段，漏洞扫描通常只覆盖镜像层，IaC 配置中的安全风险可能直到部署后才暴露。手动串联多个扫描工具不仅维护成本高，也缺乏统一的严重度判定标准，导致 CI/CD 门禁难以真正落地。

技能如何工作

该技能围绕 Aqua 的 trivy 命令行工具构建一条自动化扫描流水线。核心能力包括：

• 多目标扫描：同时覆盖容器镜像、IaC 模板和 SBOM 工件三类输入，避免分阶段重复配置；
• 标准化报告：输出 CycloneDX 与 SPDX 两种格式的扫描结果，便于对接依赖管理与合规审计工具；
• 严重度过滤：按 CVE 严重度筛选结果，让流水线只对达到阈值的风险阻断发布；
• CI/CD 门禁：将扫描结果作为强制检查点，在部署前拦截高危漏洞。

典型流程是：流水线拉取待扫描的镜像或配置文件，调用 trivy 执行扫描并解析结果，再依据预设的严重度策略决定是否放行后续阶段。

适用边界

该技能依赖上游 Trivy 工具本身的准确性与漏洞库更新频率，扫描结果的质量与 Trivy DB 的时效性直接相关。对于需要细粒度策略（如组件白名单、自定义严重度映射）的场景，仍需在流水线层额外配置。此外，扫描 IaC 模板时，部分动态生成或运行时注入的配置不在静态扫描范围内。