Trivy 使用笔记：从安装到生产实践
1. Trivy 是什么 官方网站： https://trivy.dev/ 开源仓库： https://github.com/aquasecurity/trivy Trivy（读作 “tri-vee”）是由 Aqua Security 主导开发并开源的统一安全扫描工具，名称取自 “Trigger”，寓意快速触发安全检查。它面向整个软件供应链，可用于扫描： 容器镜像与文件系统 Git 仓库与依赖项 IaC 配置，如 Dockerfile、Terraform 和 Kubernetes 清单 SBOM Kubernetes 集群及资源 借助统一的命令行入口，Trivy 能够发现： 操作系统及应用依赖中的已知漏洞（CVE） 容器、Kubernetes 和 IaC 配置错误 硬编码密码、令牌等泄露密钥 依赖项的许可证合规风险 Trivy 的优势在于将多种安全检查整合到一套工具中，并可轻松接入 CI/CD、DevSecOps 和 Kubernetes 等工作流，以结构化报告输出扫描结果。这样无需为不同类型的安全风险维护多套独立工具，就能在代码构建、制品发布和部署运行等阶段持续开展安全检查。 trivy <扫描目标> ─► 镜像 / 文件系统 / Git / IaC / SBOM / K8s ─► 漏洞 + 配置错误 + 密钥 + 许可证风险报告 2. 为什么我们需要它 2.1 供应链安全是真实风险 服务的容器镜像不是凭空造的，它由一层层基础镜像 + 一堆依赖库叠加而成。任何一个基础镜像里的老漏洞（比如某个 glibc 漏洞）、任何一个 npm install 下来的依赖带 CVE，都会原封不动带进生产环境。 ...