用途：Trivy（Aqua Security 出品）是一款综合安全扫描器，以速度快、单二进制易安装、覆盖多类目标（容器、文件系统、Git 仓库、AWS）著称。本技能提供使用 Trivy 的专家协助。
主要能力：扫描容器镜像中的操作系统包漏洞（Debian、Alpine、RedHat）与语言包依赖；按 CIS 基准审计 Kubernetes 集群配置错误；扫描代码库中硬编码凭据、API Key 等敏感信息；生成 CycloneDX 与 SPDX 格式的软件物料清单（SBOM）用于供应链合规。
使用方式：常用命令包括 trivy image python:3.4-alpine 扫描镜像；trivy fs . 扫描本地文件系统（依赖、密钥、配置错误）；trivy repo https://github.com/knqyf263/trivy 扫描 Git 仓库。可按严重级别过滤，如 trivy image --severity HIGH,CRITICAL node:20-alpine；组合扫描器如 trivy fs --scanners vuln,secret,misconfig .；导出 SBOM 如 trivy image --format cyclonedx --output sbom.json my-org/api:latest；设置退出码门禁如 trivy image --severity CRITICAL,HIGH --exit-code 1 --ignore-unfixed myapp:latest。也可通过 aquasecurity/trivy-action 集成到 GitHub Actions，输出 SARIF。
适用场景与限制：适合在 docker build 后、推送镜像前于 CI 管道中扫描，也可用于发布时附 SBOM。实践建议使用 Distroless 等最小镜像、谨慎使用 .trivyignore 并注明原因与过期时间；不要跳过漏洞库更新、不要忽视密钥告警、不要让未修复的严重漏洞进入生产。常见问题包括漏洞库下载失败（受限网络可用 TRIVY_OFFLINE_SCAN=true 配合 --skip-db-update）和 GitHub API 限流（设置 GITHUB_TOKEN）。更多细节参见 Trivy 官方文档；具体版本、价格与平台支持暂未提供。