用途：该技能围绕 Aqua Trivy 提供软件成分分析（SCA）与容器漏洞扫描工作流，覆盖容器镜像、文件系统、Git 仓库、IaC 配置等对象，用于发现 OS 包与应用依赖中的 CVE、错误配置、泄露密钥及许可证信息，并按 CVSS 与 OWASP 标准进行修复优先级排序。
主要能力：支持漏洞扫描、IaC 错误配置检测、密钥扫描、许可证扫描、SBOM 生成（CycloneDX、SPDX）、基线漏洞跟踪、自定义 OPA/Rego 策略，以及 GitHub Actions、GitLab CI、Jenkins 等 CI/CD 集成。
使用方式：安装可用 brew install trivy、apt-get install trivy 或 docker pull aquasec/trivy:latest。常用命令包括 trivy image nginx:latest、trivy fs .、trivy config .、trivy image --format cyclonedx --output sbom.json nginx:latest。可按严重级别过滤，如 trivy fs --severity CRITICAL,HIGH .，并输出 JSON 或 SARIF 报告。
适用场景：容器镜像上线前安全评估、项目依赖漏洞扫描、Terraform/Kubernetes/Dockerfile 配置检查、CI/CD 安全门禁、SBOM 生成与供应链透明度、许可证合规审查。
限制：资料未提供该技能的收费、价格与具体平台支持范围；扫描结果可能存在误报，需结合 .trivyignore 与厂商公告核实；大型镜像扫描可能耗时或占用较高内存，可通过缓存、离线模式与扫描器裁剪优化；私有镜像需配置仓库凭据；部分语言依赖需存在清单或锁文件才能准确检测。