用途：为容器镜像仓库建立安全控制，适用于 ECR、ACR、GCR、Docker Hub 等；在 CI/CD 中强制镜像晋级前扫描；实现镜像签名与验证以防供应链攻击；审计未扫描或未签名镜像；满足 SBOM 合规要求。不适用于运行时容器安全（用 Falco 或 Sysdig）、Kubernetes 准入控制（用 OPA Gatekeeper 或 Kyverno）或主机级漏洞扫描（用 Amazon Inspector 或 Qualys）。
主要能力：用 Trivy 扫描本地或远程镜像漏洞、错误配置与密钥，支持 JSON、SPDX 输出及退出码控制；用 Grype 补充漏洞库覆盖，可扫描镜像或 SBOM；用 Syft 生成 SPDX/CycloneDX 格式 SBOM；用 Cosign 生成密钥对、签名、验证及附加 SBOM 与扫描结果证明；配置 ECR 推送扫描、标签不可变、生命周期策略，启用 ACR Defender 与 GCR Container Analysis；在 GitHub Actions 等 CI/CD 中集成扫描、签名、推送与 SBOM 附加。
使用方式：需先安装 Trivy、Grype、Cosign、Syft 并具备仓库访问权限。典型命令包括 trivy image --severity HIGH,CRITICAL myapp:latest、grype myapp:latest --fail-on critical、syft myapp:latest -o spdx-json > sbom.json、cosign sign --key cosign.key <image>、cosign verify --key cosign.pub <image>，以及 aws ecr put-image-scanning-configuration 等仓库配置命令。
适用场景：构建安全镜像晋级流水线，开发仓库推送扫描、CI 阻断严重漏洞、生成并存储 SBOM、扫描通过后签名、生产仓库要求签名、Kubernetes 验证签名、生命周期清理旧镜像。
限制：漏洞库持续更新，今日通过的镜像明日可能新增严重漏洞，需对已部署镜像持续扫描；签名密钥应存于 KMS 或 Vault，而非 CI/CD 环境变量。具体收费、价格与平台支持范围暂未提供。