用途：扫描容器镜像和 Dockerfile，发现漏洞、错误配置与合规违规，覆盖基础镜像、操作系统包、应用依赖及运行时配置，输出可执行的修复建议。
主要能力：用 hadolint 检查 Dockerfile 最佳实践（特权指令、版本固定、shell 用法）；用 trivy image image:tag 或 grype image:tag 扫描镜像的 OS 级漏洞；检查镜像内语言包（npm、pip、Maven、Go modules）的依赖漏洞；用 trivy image --scanners secret image:tag 检测镜像层中误入的密钥；对照 CIS Docker Benchmark 评估非 root 用户、只读文件系统、健康检查等；按 Critical/High/Medium/Low 分级并给出 CVE 编号与修复步骤（升级基础镜像、固定包版本、替换脆弱依赖）；可集成 CI/CD，对 Critical/High 漏洞使构建失败并生成 SARIF 输出。
使用方式：需预先安装 trivy、grype、snyk 或 docker scout 之一，以及 hadolint、jq，本地扫描需 Docker 守护进程运行，并确保可访问目标镜像（本地、仓库或 tar 归档）。典型流程为先 lint Dockerfile，再扫描已构建镜像，最后生成报告与修复补丁。
适用场景：生产镜像、基础镜像与 CI 构建镜像的安全审查，以及自动化流水线中的镜像扫描。
限制：部分 Critical 漏洞可能暂无上游修复，需记录为接受风险、使用 --ignore-unfixed 或更换基础镜像；大镜像可能扫描超时，可用 --timeout 15m 或 --skip-dirs 排除测试数据；误报可加入 .trivyignore 或 Grype 忽略文件并附理由。具体收费、价格与平台支持情况暂未提供。