用途：面向 Docker 项目做容器安全分析，识别镜像层中的 CVE、不安全的 Dockerfile 写法、过时基础镜像与构建配置问题，并将发现映射到 CWE 与 OWASP Top 10:2021。
主要能力：使用 Docker Scout 扫描镜像 CVE、给出基础镜像升级建议、生成镜像 SBOM；无 Scout 时执行十项静态 Dockerfile 检查（root 运行、latest 标签、构建参数泄露密钥、多余软件包、缺少 HEALTHCHECK、多阶段构建机会、ADD 远程 URL、非官方基础镜像、shell 形式 CMD/ENTRYPOINT、缺少 COPY --chown）。每条发现需包含严重级别、CWE、OWASP 映射、位置、问题与修复建议。
使用方式：先运行 docker scout version 确认工具；已安装则执行 docker scout cves <image> --format json、docker scout recommendations <image>，可选 docker scout sbom <image>。未安装可参考安装命令：curl -fsSL https://raw.githubusercontent.com/docker/scout-cli/main/install.sh | sh。需要 Docker Scout CLI 1.0+，完整 CVE 库需 Docker Hub 账号（docker login），本地 SBOM 分析无需认证。
适用场景：扫描镜像漏洞、审查 Dockerfile 或 docker-compose.yml、检查过时基础镜像与构建参数密钥、生成容器 SBOM。
限制：不用于应用源码逻辑漏洞、运行时监控、Kubernetes/Helm 清单或 CI/CD 流水线生成；目标目录无 Docker 配置时应拒绝。回退模式仅做静态检查，不得声称 CVE 编号或镜像层指标。