用途：通过 Trivy 对容器镜像、文件系统（Node.js 项目等）和远程仓库进行漏洞与 CVE 检测，帮助在开发与交付流程中发现安全问题。
主要能力：可扫描文件系统（trivy fs --scanners vuln .）、镜像（trivy image image:tag）与仓库（trivy repo --scanners vuln <url>）。支持按严重度过滤（--severity HIGH,CRITICAL）、仅显示存在修复的漏洞（--ignore-unfixed）、用 .trivyignore 忽略指定 CVE。扫描类型由 --scanners 控制，可选 vuln、secret、misconfig、license，默认全部启用；仅用 vuln 可加速。输出格式支持 table、json、sarif，便于自动化与 GitHub/GitLab 集成。还提供批量扫描与版本对比脚本（如 scripts/batch_scan.sh、scripts/compare_versions.sh）。
使用方式：按需选择对应命令；CI/CD 中可用 --exit-code 1 使构建在发现高危及严重漏洞时失败，用 --format sarif --output trivy-results.sarif 生成报告，用 --skip-db-update 跳过数据库更新，用 --download-db-only 单独下载漏洞库。Node.js 项目支持 package.json/package-lock.json、yarn.lock、pnpm-lock.yaml。
适用场景：镜像与依赖漏洞排查、版本间漏洞对比、跟踪特定 CVE、CI/CD 安全门禁、批量镜像扫描。
限制：资料未提供安装方法、版本要求、平台支持范围与收费信息；输出中需注意误报，例如 Go 二进制常见“已修复但 CVE 仍显示”的情况，应核查已安装版本是否不低于修复版本。