Trivy

定义

Trivy 是 Aqua Security 开源的综合安全扫描工具,用 Go 编写,单二进制、无需数据库服务即可运行。它最初以容器镜像漏洞扫描出名,现已扩展为覆盖多种目标的一体化扫描器。

扫描能力

Trivy 可扫描:容器镜像与文件系统中的操作系统包漏洞(基于各发行版安全公告)和语言依赖漏洞(npm、pip、Go module 等 lock 文件);基础设施即代码文件(Terraform、Kubernetes YAML、Dockerfile)中的错误配置;泄露在代码中的密钥(secret);并能生成 SBOM(软件物料清单,支持 SPDX 与 CycloneDX 格式)。

在 CI/CD 中的应用

Trivy 常作为流水线中的安全关卡:构建镜像后立即扫描,发现高危漏洞即让构建失败,阻止带病镜像进入仓库,是 DevSecOps「安全左移」的典型落地工具。Harbor 镜像仓库默认集成 Trivy 作为扫描引擎;Trivy Operator 则可在 Kubernetes 集群内持续扫描运行中的工作负载。

特点

免费开源、更新快、误报相对可控,已成为开源镜像扫描领域事实上的首选工具。