Trivy 容器漏洞扫描器

镜像交付链路里的漏洞与配置风险

容器镜像在构建、推送、拉取和部署之间反复流转，依赖项、基础镜像和清单中的配置项都可能引入已知 CVE、错误配置或许可证约束。人工在 CI 里临时拼 docker run、解析结果、判断是否阻断发布，既容易遗漏，也会让修复结论缺乏一致性。

这个技能把 Aqua Security Trivy 的扫描流程收敛成一个可重复调用的运维动作：针对 Docker 镜像和 OCI 构件执行扫描，识别漏洞、配置问题和许可证违规，并把结果转成可用于 CI 门禁的结构化输出。

核心能力与工作方式

• 扫描对象明确：覆盖 Docker images 与 OCI artifacts，适合在镜像构建后、推送后或部署前执行。
• 风险分类清晰：输出 CVE、misconfigurations、license violations 三类关注点，便于分别制定修复或豁免策略。
• CI 可消费的结果：集成 Trivy 的 JSON / SARIF 输出，让流水线可以基于结构化字段做 gate decisions，而不是依赖人工看终端日志。
• 修复导向：生成 remediation reports，把“发现了什么”推进到“下一步改哪里、由谁处理”。

典型流程是：指定待扫描镜像或 OCI 构件 → 运行 Trivy 扫描 → 解析 JSON/SARIF → 按预设阈值或策略判断是否阻断 → 输出修复建议与报告。

适用边界与注意点

• 该技能聚焦漏洞、配置与许可证检查，不替代镜像构建、基础镜像治理、运行时防护或供应链签名体系。
• 扫描结果的有效性依赖 Trivy vulnerability database 与镜像内容的完整性；上游数据库更新、镜像层缓存和目标发行版支持会影响命中范围。
• CI 门禁阈值需要结合风险策略配置。过低阈值可能导致噪声阻断，过高阈值可能让高危漏洞流入生产。
• 许可证违规属于合规信号，不等同于法律结论；面向不同分发渠道和法域时，仍需人工复核许可证文本与适用条件。