用途：使用开源漏洞扫描器 Grype 检测容器镜像、文件系统与 SBOM 中的已知安全漏洞，覆盖 Alpine、Ubuntu、Red Hat、Debian 等系统包及 Java、Python、JavaScript、Ruby、Go、PHP、Rust 等语言依赖，并借助 CVSS 严重度、EPSS 利用概率和 CISA KEV 指标辅助风险排序。
主要能力：支持镜像、目录和 SBOM 三类扫描目标；输出 table、JSON、SARIF、CycloneDX 及自定义模板；可用 --fail-on 设置 CI 失败阈值，用 --only-fixed 仅显示有修复的漏洞，用 --exclude 排除路径，并通过 .grype.yaml 配置忽略规则。
使用方式：基本命令为 grype <image-name>，例如 grype alpine:latest、grype dir:/path/to/project、grype sbom:/path/to/sbom.json。CI 中可用 grype <image> --fail-on critical 阻断构建，或 grype <image> -o json > results.json 输出结果。配合 Syft 可先生成 SBOM 再扫描：syft <image> -o json | grype。数据库可用 grype db update 更新、grype db status 查看状态。
适用场景：构建前扫描、部署前质量门禁、定时重扫、基础镜像对比选型，以及 GitHub Actions、GitLab CI、Jenkins 等流水线集成。
限制：扫描镜像需 Docker socket 访问权限；结果可能暴露应用架构信息，需安全存储；误报可通过忽略文件处理并定期复核；大镜像扫描较慢，建议采用 SBOM 工作流。具体收费、平台支持等资料暂未提供。