用途：为容器镜像仓库（ECR、ACR、GCR、Docker Hub）建立安全控制，在 CI/CD 中强制镜像扫描、签名与验证，防范供应链攻击，并审计未扫描或未签名的镜像。
主要能力：用 Trivy 扫描本地或远程镜像的高危漏洞、误配置和密钥，可输出 JSON、SPDX；用 Grype 做补充扫描，支持对 SBOM 扫描；用 Syft 生成 SPDX 或 CycloneDX 格式 SBOM 并可用 cosign attach sbom 附加到镜像；用 Cosign 生成密钥对、签名、验证镜像，支持 keyless 与 attest 证明；配置 ECR 推送时扫描、标签不可变、生命周期策略，ACR Defender 与 GCR Container Analysis；在 CI/CD 中以 trivy image --exit-code 1 --severity CRITICAL 等命令作为门禁。
使用方式：先安装 Trivy、Grype、Cosign、Syft 并具备仓库访问权限，然后依次执行扫描、生成 SBOM、签名、配置仓库控制与流水线门禁。
适用场景：镜像晋升流水线、合规 SBOM、镜像审计、供应链完整性校验。
限制：不用于运行时容器安全、Kubernetes 准入控制和主机级扫描；漏洞库持续更新，需对已部署镜像持续扫描；签名密钥应存于 KMS 或 Vault。具体收费与平台细节暂未提供。