用途：Grype 是 Anchore 提供的开源漏洞扫描工具，用于对容器镜像、文件系统目录和 SBOM 进行已知 CVE 检测。它借助 Syft 生成的 SBOM，将软件包与 NVD、GitHub Advisories 以及 Alpine、Debian、Ubuntu、Red Hat、Amazon Linux、Wolfi 等系统漏洞源进行匹配。
主要能力：支持扫描 Docker Hub 镜像、Docker 守护进程镜像、docker-archive、OCI 目录、Singularity 镜像及本地目录；输出格式包括默认表格、JSON、CycloneDX、SARIF 和自定义模板；支持按严重级别过滤、仅显示已修复或未修复漏洞、解释指定 CVE，并可通过 .grype.yaml 配置忽略规则、数据库缓存和匹配行为。
使用方式：安装可执行 curl -sSfL https://raw.githubusercontent.com/anchore/grype/main/install.sh | sh -s -- -b /usr/local/bin，或用 brew install grype。基本扫描如 grype nginx:latest；生成 SBOM 后扫描如 syft nginx:latest -o spdx-json > nginx-sbom.json 再 grype sbom:nginx-sbom.json。CI 中可设置 --fail-on high 作为质量门禁，并可用 grype db update 更新漏洞库。
适用场景：容器镜像安全评估、事件响应、定期安全测试与审计、CI/CD 流水线集成（如 GitHub Actions 的 anchore/scan-action、GitLab CI）。
限制：需要 Docker 或 Podman、Grype CLI 及拉取漏洞库的网络访问；扫描结果依赖漏洞库时效性，可能存在误报，需通过忽略规则并记录原因进行管理。资料未提供收费、价格或性能数据。