用途：该技能在代码提交前强制执行 Trivy 安全漏洞扫描，覆盖文件系统依赖、容器镜像与 IaC 配置，要求 CRITICAL 和 HIGH 级别漏洞必须先修复才能提交。
主要能力：支持 trivy fs 扫描文件系统依赖，trivy image 扫描容器镜像，trivy config 扫描 Terraform、CloudFormation 等 IaC 配置；可生成 SBOM（spdx-json）与 JSON、SARIF 格式报告；支持离线扫描与按语言筛选扫描。严重级别策略为 CRITICAL、HIGH 阻止提交，MEDIUM 警告，LOW 记录。
使用方式：常用命令为 trivy fs --severity CRITICAL,HIGH --exit-code 1 .、trivy image --severity CRITICAL,HIGH --exit-code 1 IMAGE_NAME、trivy config --severity CRITICAL,HIGH --exit-code 1 .。可集成到 pre-commit 钩子或 .git/hooks/pre-commit 中，在依赖文件、Dockerfile 或 IaC 文件变更时自动触发。修复策略包括升级依赖、用 Trivy 查找修复版本、在 .trivyignore 中记录误报排除理由，以及通过包管理器 override 处理传递依赖。
适用场景：提交前安全检查、CI/CD 流水线、容器镜像构建后扫描、IaC 配置审计。
限制：需先安装 Trivy（如 brew install trivy）；扫描速度受漏洞库更新影响，可用 --skip-update 加速；误报需人工确认并记录理由；传递依赖可能无法直接升级。具体收费、平台支持与效果数据暂未提供。