技能介绍

解决什么问题

容器镜像漏洞扫描通常需要协调多个工具和数据源：使用 Trivy 扫描漏洞、通过 Docker Hub API 获取镜像元数据、用 Syft 生成软件物料清单（SBOM），再将 CVE 映射到具体的修复版本。这些步骤分散在不同的命令行工具和 API 中，手动操作容易遗漏关键信息，尤其是当需要确定某个 CVE 在哪个基础镜像版本中被修复时，工程师往往要逐个查询 Alpine SecDB 或 Debian Security Tracker。

核心能力与工作方式

该技能将上述流程自动化，核心能力包括：

漏洞扫描：调用 trivy 对 Docker 和 OCI 容器镜像进行扫描，获取 JSON 格式的漏洞报告
镜像元数据获取：通过 Docker Hub API v2 获取镜像的标签、架构等信息
SBOM 生成：使用 syft 生成软件物料清单，分析基础镜像层的组件依赖
修复版本映射：将扫描到的 CVE 通过 Alpine SecDB 和 Debian Security Tracker API 映射到具体的修复版本

关键步骤：首先用 Trivy 扫描镜像并输出 JSON 报告；然后用 Syft 分析基础镜像层生成 SBOM；最后将 CVE 数据与 Alpine/Debian 的安全数据库比对，确定每个漏洞的修复版本。

适用边界与注意点

该技能主要支持 Alpine 和 Debian 基础镜像的修复版本映射。对于其他发行版，CVE 到修复版本的映射可能不完整。扫描准确性依赖 Trivy 漏洞数据库的更新频率，建议定期更新数据库。Syft 生成的 SBOM 能提供更精确的基础镜像层分析，但需要确保正确配置了 Syft 的扫描范围。此外，技能不会自动修复漏洞，仅提供漏洞信息和修复版本建议，实际修复需要工程师根据扫描结果手动升级基础镜像或相关软件包。