https://blogs.wuvikr.top/categories/security/Recent content in Security on 维克的博客HugoenMon, 26 Oct 2026 10:41:08 +0800https://blogs.wuvikr.top/posts/trivy%E4%BD%BF%E7%94%A8%E7%AC%94%E8%AE%B0/Mon, 26 Oct 2026 10:41:08 +0800https://blogs.wuvikr.top/posts/trivy%E4%BD%BF%E7%94%A8%E7%AC%94%E8%AE%B0/<h1 id="1-trivy-是什么">1. Trivy 是什么</h1> <ul> <li><strong>官方网站：</strong> <a href="https://trivy.dev/">https://trivy.dev/</a></li> <li><strong>开源仓库：</strong> <a href="https://github.com/aquasecurity/trivy">https://github.com/aquasecurity/trivy</a></li> </ul> <p><strong>Trivy</strong>（读作 “tri-vee”）是由 <strong>Aqua Security</strong> 主导开发并开源的<a href="https://trivy.dev/">统一安全扫描工具</a>，名称取自 “Trigger”，寓意快速触发安全检查。它面向整个软件供应链，可用于扫描：</p> <ul> <li><strong>容器镜像与文件系统</strong></li> <li><strong>Git 仓库与依赖项</strong></li> <li><strong>IaC 配置</strong>，如 Dockerfile、Terraform 和 Kubernetes 清单</li> <li><strong>SBOM</strong></li> <li><strong>Kubernetes 集群及资源</strong></li> </ul> <p>借助统一的命令行入口，Trivy 能够发现：</p> <ul> <li>操作系统及应用依赖中的已知漏洞（CVE）</li> <li>容器、Kubernetes 和 IaC 配置错误</li> <li>硬编码密码、令牌等泄露密钥</li> <li>依赖项的许可证合规风险</li> </ul> <p>Trivy 的优势在于将多种安全检查整合到一套工具中，并可轻松接入 CI/CD、DevSecOps 和 Kubernetes 等工作流，以结构化报告输出扫描结果。这样无需为不同类型的安全风险维护多套独立工具，就能在代码构建、制品发布和部署运行等阶段持续开展安全检查。</p> <div class="highlight"><pre tabindex="0" style="color:#f8f8f2;background-color:#272822;-moz-tab-size:4;-o-tab-size:4;tab-size:4;"><code class="language-text" data-lang="text"><span style="display:flex;"><span>trivy &lt;扫描目标&gt; ─► 镜像 / 文件系统 / Git / IaC / SBOM / K8s </span></span><span style="display:flex;"><span> ─► 漏洞 + 配置错误 + 密钥 + 许可证风险报告 </span></span></code></pre></div><h1 id="2-为什么我们需要它">2. 为什么我们需要它</h1> <h2 id="21-供应链安全是真实风险">2.1 供应链安全是真实风险</h2> <p>服务的容器镜像不是凭空造的，它由一层层基础镜像 + 一堆依赖库叠加而成。任何一个基础镜像里的老漏洞（比如某个 glibc 漏洞）、任何一个 <code>npm install</code> 下来的依赖带 CVE，都会<strong>原封不动带进生产环境</strong>。</p>