用途：使用 Trivy 对 Docker 镜像进行安全扫描，覆盖漏洞、错误配置、密钥泄露与许可证合规，可集成到 CI/CD 流程。
主要能力：支持多种扫描器，通过 --scanners 参数选择 vuln（OS 包与库中的 CVE）、misconfig（Dockerfile/K8s 清单错误配置）、secret（硬编码密码、API 密钥、令牌）、license（许可证合规）。严重级别分为 CRITICAL（CVSS 9.0-10.0）、HIGH（7.0-8.9）、MEDIUM（4.0-6.9）、LOW（0.1-3.9）、UNKNOWN。漏洞库来源包括 NVD、Red Hat、Alpine、Debian、Ubuntu、Amazon Linux、GitHub Advisory。输出格式支持表格、JSON、SARIF、CycloneDX、SPDX 和模板。
使用方式：先安装 Trivy（Linux 可用 apt 源，macOS 用 brew install trivy，Docker 用 docker pull aquasecurity/trivy:latest）。基本扫描命令为 trivy image python:3.12-slim，可用 --severity CRITICAL,HIGH 过滤，--ignore-unfixed 忽略未修复项，--input 扫描 tar 归档，--list-all-pkgs 列出包。SBOM 可生成 CycloneDX 或 SPDX 格式。扫描配置用 trivy config Dockerfile 或 trivy config k8s-deployment.yaml，也支持 Helm chart 和 Terraform。CI/CD 可用 aquasecurity/trivy-action 或 GitLab CI 的 aquasecurity/trivy:latest 镜像。策略忽略通过 .trivyignore 文件，支持带到期日的 CVE 条目。私有仓库需先登录，也可设置 TRIVY_USERNAME 和 TRIVY_PASSWORD。验证命令包括 trivy version、trivy image --download-db-only。
适用场景：安全评估、事件响应、定期安全测试与审计、安全控制验证。
限制：需 Docker Engine 20.10+、Trivy v0.50+、联网更新漏洞库；私有仓库需凭据。费用与性能数据暂未提供。