在容器、Kubernetes、代码仓库、云环境等场景中检测漏洞、错误配置、密钥泄露和软件物料清单
Trivy 是一款功能全面且多用途的安全扫描工具，专为现代云原生环境设计。它能够扫描多种目标，包括容器镜像、文件系统、远程Git仓库、虚拟机镜像以及Kubernetes集群。在这些目标中，Trivy可以检测多种安全问题：识别操作系统包和软件依赖以生成软件物料清单（SBOM）、发现已知漏洞（CVE）、检查基础设施即代码（IaC）的配置错误与合规性问题、查找敏感信息和密钥泄露，并分析软件许可证。该工具支持广泛的编程语言、操作系统和平台，可轻松通过Homebrew、Docker或直接下载二进制文件安装，并能与GitHub Actions、Kubernetes Operator等流行平台集成。Trivy帮助开发者和运维人员在软件开发生命周期的早期发现并修复安全风险，是实现DevSecOps理念的关键工具。
💡 应用场景
Trivy最适合在DevSecOps流程中，为容器、代码和基础设施提供一站式的自动化安全扫描。
CI/CD镜像安全扫描
问题：开发者在构建Docker镜像后，需要快速检查其中是否存在已知的安全漏洞，避免将不安全的镜像部署到生产环境。
方案：在CI/CD流水线中集成Trivy，自动扫描新构建的容器镜像，检测操作系统包和依赖库中的CVE漏洞，并生成详细的报告。
示例：在GitHub Actions工作流中添加Trivy扫描步骤：`docker run aquasec/trivy image your-image:tag`，当发现高危漏洞时自动失败构建。
IaC配置安全检查
问题：开发者在编写Terraform、Kubernetes YAML等基础设施代码时，容易引入安全配置错误，导致云环境存在安全风险。
方案：使用Trivy扫描IaC配置文件，自动识别不符合安全最佳实践的配置，如公开的S3存储桶、过度宽松的IAM策略等。
示例：扫描Terraform目录：`trivy config ./terraform/`，检查Kubernetes清单：`trivy k8s --report summary cluster`。
代码仓库密钥泄露检测
问题：开发者可能无意中将API密钥、密码等敏感信息提交到Git仓库，造成严重的安全泄露。
方案：使用Trivy扫描本地代码仓库或远程Git仓库，检测硬编码的密钥、令牌等敏感信息，及时告警并修复。
示例：扫描当前目录：`trivy fs .`，或直接扫描远程仓库：`trivy repo https://github.com/user/repo`。
生成软件物料清单
问题：为了满足软件供应链安全要求，开发者需要为应用程序生成完整的软件物料清单（SBOM），列出所有依赖组件。
方案：使用Trivy扫描应用程序，自动识别所有操作系统包、编程语言依赖库，并生成标准格式的SBOM报告。
示例：为容器镜像生成CycloneDX格式的SBOM：`trivy image --format cyclonedx your-image:tag`，用于安全审计和合规检查。
📊 项目信息
- 语言
- Go
- Stars
- ⭐ 31,535
- Forks
- 2,920
- 今日新增
- +165
- 排名
- #5
- 收录
- 总榜
- 趋势日期
- 2026年2月6日
🏷️ 标签
📸 截图
