用途：为 Docker 与容器部署提供安全审计模式，检查镜像中的密钥、端口暴露、用户权限以及 Compose 配置安全。
主要能力：
- 镜像密钥审计：识别 ENV/ARG 中的密钥（会出现在镜像历史中）、被 COPY 进镜像的 .env 等文件、以及删除后仍残留在层历史中的密钥；建议改用运行时密钥、Docker secrets 或 /run/secrets/，并用 .dockerignore 排除 .env、.git、.pem、.key。可用 docker history --no-trunc <image> 与 docker inspect <image> | jq '.[0].Config.Env' 检查。
- 端口暴露：数据库、Redis 等不应通过 ports 暴露到宿主机，应使用 expose 仅内部访问，或绑定 127.0.0.1；避免默认或空密码。
- 非 root 用户：通过 USER 指令或数值 UID 运行，配合 COPY --chown。
- 多阶段构建：仅将生产产物复制到最终镜像，避免源码、开发依赖与构建工具残留。
- Compose 安全：避免 privileged: true、危险 cap_add（如 SYS_ADMIN、NET_ADMIN）、挂载 /var/run/docker.sock 或 /etc、/root 等敏感路径、network_mode: host。
- 镜像安全：使用官方、较新且精简的基础镜像，并用 docker scout cves <image>、trivy image <image>、grype <image> 扫描漏洞。
使用方式：提供快速审计命令，如用 rg 搜索 Dockerfile 中的 ENV/ARG 密钥、compose 中的 ports、privileged/cap_add/network_mode、docker.sock 挂载，用 grep 检查 USER 指令与 .dockerignore 内容；并附硬化检查清单。
适用场景：编写或审查 Dockerfile、docker-compose 文件及容器部署时的安全自查。
限制：资料未提供具体安装步骤、收费方式与平台支持信息。