用途：Trivy（Aqua Security 开源扫描器）用于在 CI/CD 中做“左移”安全门禁，扫描容器镜像、IaC、文件系统、Git 仓库、Kubernetes 集群与 SBOM，发现 CVE 漏洞、配置错误、硬编码密钥与许可证问题，对应 MITRE ATT&CK T1525（植入内部镜像）。
主要能力：内置四类扫描器，用 --scanners 切换：vuln（OS 包与语言依赖漏洞）、misconfig（Terraform、CloudFormation、Kubernetes、Dockerfile、Helm 配置错误，支持内置与自定义 Rego 策略）、secret（密钥/凭据检测）、license（许可证识别与策略）。支持 table、JSON、SARIF、CycloneDX、SPDX 输出。
使用方式：安装可用 APT、Homebrew 或脚本，例如 brew install trivy，或容器化运行 docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image python:3.10-alpine，用 trivy --version 验证。常用命令：trivy image --scanners vuln --severity HIGH,CRITICAL --ignore-unfixed python:3.10-alpine；trivy config --severity HIGH,CRITICAL ./infra；trivy fs --scanners vuln,secret .；trivy repository --scanners vuln,secret <URL>；trivy image --format cyclonedx --output sbom.cdx.json <镜像> 后用 trivy sbom 复扫；trivy image --format sarif --output trivy-results.sarif <镜像>；用 --exit-code 1 让流水线在达到阈值时失败。可用 .trivyignore 抑制已接受风险，用 --download-db-only 预下载数据库。
适用场景：镜像推送前扫描、IaC 应用前校验、SBOM 生成与复扫、Kubernetes 集群审计、许可证合规。
限制：需网络下载漏洞数据库（离线环境需预下载）；扫描结果依赖数据库时效；具体收费、平台支持与效果资料未提供。