用途：该技能围绕 Aqua Trivy 提供软件成分分析与容器漏洞扫描工作流，覆盖容器镜像、文件系统、依赖清单和 IaC 文件，用于发现操作系统包与应用依赖中的 CVE，并检测错误配置、泄露密钥和软件许可证。
主要能力：支持漏洞扫描（trivy image nginx:latest、trivy fs .）、IaC 配置检查（trivy config .）、密钥扫描（--scanners secret）、许可证扫描（--scanners license），可按严重级别过滤（--severity CRITICAL,HIGH），输出 JSON、SARIF、CycloneDX、SPDX 等格式，并生成 SBOM（trivy image --format cyclonedx --output sbom.json nginx:latest）。附带脚本与参考文档涉及基线管理、修复报告和 CVSS 优先级排序。
使用方式：安装方式包括 brew install trivy、apt-get install trivy 或 docker pull aquasec/trivy:latest。可接入 GitHub Actions、GitLab CI、Jenkins 等流水线，配合 .trivyignore 和 trivy.yaml 定制扫描策略；基线模式用于只跟踪新增漏洞。
适用场景：容器镜像安全评估、依赖漏洞扫描、IaC 安全检查、CI/CD 安全门禁、SBOM 生成、许可证合规和离线气隙环境扫描。
限制：私有镜像需配置仓库认证；大型镜像扫描可能耗时或占用内存；部分语言的依赖需要清单或锁文件才能准确识别；资料未提供具体性能数据与收费信息。