用途：Trivy 用于对容器镜像、文件系统、远程 Git 仓库、IaC 配置、Kubernetes 集群、SBOM 与 VM 镜像做安全扫描，覆盖漏洞、密钥泄露、错误配置与许可合规，并生成 SBOM。
主要能力：扫描目标包括 trivy image、trivy fs、trivy repo、trivy k8s、trivy config、trivy sbom、trivy vm、trivy rootfs；可用 --scanners vuln,secret,misconfig,license 选择扫描器；支持 npm、Python、Go、Rust、Java、Ruby、PHP、.NET 等生态清单文件，以及 Terraform、CloudFormation、Kubernetes、Helm、Dockerfile、Azure ARM 等 IaC。输出支持 table、json、sarif、cyclonedx、spdx-json、github 及自定义模板。
用法：安装可用 brew install trivy、docker pull aquasec/trivy:latest，或用官方脚本、apt、rpm、choco、scoop、go install。基本命令如 trivy image nginx:latest、trivy fs .、trivy repo URL、trivy k8s --report summary cluster、trivy config ./terraform。可配合 --severity、--exit-code、--ignore-unfixed、--ignorefile .trivyignore、trivy.yaml 配置、--skip-dirs、--skip-files、--cache-dir、--skip-db-update、--offline-scan 使用，并通过 trivy-action 接入 GitHub Actions。
适用场景：容器镜像发布前扫描、仓库安全审计、IaC 部署前检查、Kubernetes 集群评估、供应链 SBOM 生成与复扫、CI/CD 安全门禁。
限制：只扫描最终镜像文件系统，不含中间层；为静态分析，不检测运行时漏洞；可能无法识别私有或自定义包漏洞；存在误报；仅检测已公开披露漏洞。深度应用代码分析、API 发现、带污点追踪的高级 SAST 及渗透测试不在其范围。