夜雨聆风
开发者必看!这个开源神器让你的容器安全扫描效率提升10倍
这种日子，该结束了。
今天要介绍的开源神器——Trivy，已经在GitHub上获得了超过19,000颗星⭐，被全球开发者誉为”容器安全扫描的瑞士军刀”。它不仅能扫描容器镜像，还能检查文件系统、Git仓库、虚拟机、Kubernetes集群，甚至能发现代码中的敏感信息和配置错误。
更震撼的是，它完全免费，开源，而且极其易用。
什么是Trivy？
Trivy（发音像”trippy”）是一个全面且多功能的安全扫描器。简单来说，就是给你的代码和基础设施”做体检”的工具。
它的工作原理很简单：
-
1. 识别目标：你想扫描什么？（容器、文件系统、Git仓库、K8s…） -
2. 选择扫描器：你想找什么问题？（漏洞、错误配置、敏感信息、许可证…） -
3. 输出报告：给你一份详细的安全检查报告
支持的扫描目标
-
• 🐳 容器镜像：Docker、OCI、Containerd -
• 📁 文件系统：本地目录、压缩包 -
• 🔍 Git仓库：远程代码仓库 -
• 💿 虚拟机镜像：VM镜像扫描 -
• ☸️ Kubernetes：集群安全检查
支持的扫描器
-
• 🛡️ 漏洞扫描：已知CVE漏洞 -
• 🔧 错误配置：IaC问题、配置错误 -
• 🔐 敏感信息：密码、API密钥等秘密 -
• 📄 许可证检查：软件许可证合规性
3分钟上手Trivy
安装（超简单）
最简单的安装方式：
# macOS用户（推荐）brew install trivy# Docker用户docker run aquasec/trivy image python:3.4-alpine# 下载二进制文件# 访问 https://github.com/aquasecurity/trivy/releases/latest基本使用
扫描一个Docker镜像：
trivy image python:3.4-alpine就这么简单！几秒钟后，你会看到类似这样的输出：
python:3.4-alpine (alpine 3.20.3)=====================================Total: 5 (UNKNOWN: 0, LOW: 0, MEDIUM: 1, HIGH: 2, CRITICAL: 2)┌───────────┬─────────────────────┬──────────┬──────────────────┬─────────────┬─────────────────┐│ Library │ Vulnerability │ Severity │ Installed │ Fixed │ Title │├───────────┼─────────────────────┼──────────┼──────────────────┼─────────────┼─────────────────┤│ openssl │ CVE-2024-0727 │ CRITICAL │ 3.1.4-r5 │ 3.1.6-r1 │ HMAC: DoS ││ libcurl │ CVE-2023-38545 │ CRITICAL │ 8.5.0-r0 │ 8.6.0-r0 │ SOCKS5 heap ... │...扫描本地文件系统
trivy fs --scanners vuln,secret,misconfig myproject/这个命令会：
-
• 检查项目的依赖漏洞 -
• 发现敏感信息（密码、API密钥） -
• 检查配置错误（如Dockerfile安全问题）
扫描Kubernetes集群
trivy k8s --report summary cluster一键扫描你的整个K8s集群，发现安全风险。
为什么Trivy这么受欢迎？
1. 零学习成本
和其他复杂的扫描工具不同，Trivy的设计理念就是”简单到不能再简单”。一个命令就能扫描，不需要复杂的配置文件。
2. 超快速度
得益于高效的数据库和缓存机制，Trivy的扫描速度极快。大多数扫描在几秒钟内完成，不会拖慢你的开发流程。
3. 全面覆盖
从容器到K8s，从代码到基础设施，Trivy几乎覆盖了现代应用安全的所有场景。
4. 集成友好
Trivy可以轻松集成到CI/CD流程中：
-
• GitHub Actions -
• GitLab CI -
• Jenkins -
• CircleCI
甚至有专门的Kubernetes Operator，可以在K8s中自动运行扫描。
5. 活跃的社区
Trivy由Aqua Security维护，社区非常活跃。几乎每周都有更新，修复bug、添加新功能、更新漏洞数据库。
实战案例：在CI/CD中集成Trivy
GitHub Actions示例
在你的.github/workflows/security.yml中添加：
name: Security Scanon: push: branches: [ main ] pull_request: branches: [ main ]jobs: scan: runs-on: ubuntu-latest steps: - uses: actions/checkout@v3 - name: Build Docker image run: docker build -t myapp:${{ github.sha }} . - name: Run Trivy vulnerability scanner uses: aquasecurity/trivy-action@master with: image-ref: 'myapp:${{ github.sha }}' format: 'sarif' output: 'trivy-results.sarif' - name: Upload Trivy results to GitHub Security tab uses: github/codeql-action/upload-sarif@v2 with: sarif_file: 'trivy-results.sarif'这样，每次你推送代码或提交PR时，Trivy都会自动扫描你的镜像，并把结果上传到GitHub Security标签页。
GitLab CI示例
stages: - securitytrivy_scan: stage: security image: aquasec/trivy:latest script: - trivy image --severity HIGH,CRITICAL --exit-code 1 myapp:latest allow_failure: true进阶技巧
1. 自定义漏洞数据库
如果你有内网的漏洞数据库，可以配置Trivy使用它：
trivy image --download-db-only2. 设置严重性阈值
只关注高危漏洞：
trivy image --severity HIGH,CRITICAL myapp:latest3. 忽略特定漏洞
创建.trivyignore文件：
# 忽略已知的误报CVE-2023-1234# 忽略不影响安全的漏洞CVE-2023-56784. 输出多种格式
# JSON格式（用于CI/CD）trivy image --format json myapp:latest > results.json# HTML报告（用于人工查看）trivy image --format template --template "@contrib/html.tpl" -o report.html myapp:latest# SARIF格式（用于GitHub Security）trivy image --format sarif myapp:latest > results.sarif常见问题
Q: Trivy和其他扫描工具有什么区别？
A: Trivy的最大优势是全面性和易用性。大多数工具只能扫描容器，而Trivy可以扫描容器、文件系统、Git仓库、K8s、云服务。而且它的速度更快，集成更简单。
Q: Trivy收费吗？
A: 完全免费！Trivy是100%开源的，使用Apache 2.0许可证。Aqua Security还提供了一个商业版本，提供更多高级功能，但核心功能完全免费。
Q: Trivy适合企业使用吗？
A: 非常适合！很多大公司都在使用Trivy，包括阿里巴巴、腾讯、字节跳动等。它有企业级的功能（如Kubernetes Operator），并且有商业支持。
Q: 扫描会影响性能吗？
A: 影响很小。Trivy使用了高效的缓存机制，重复扫描会非常快。而且你可以把扫描放到CI/CD的独立stage中，不会影响开发和部署的速度。
写在最后
安全不是一朝一夕的事，而是一个持续的过程。Trivy只是帮助你构建安全体系的一个工具。
记住：
-
• 安全左移：在开发早期就发现安全问题，而不是等到生产环境 -
• 自动化：把安全扫描集成到CI/CD中，让它成为流程的一部分 -
• 持续监控：漏洞数据库每天都在更新，持续扫描才能保证安全
Trivy就是这样一个工具——简单、快速、全面，让你能够轻松地构建安全的应用。
如果你觉得Trivy好用，别忘了在GitHub上给个⭐，或者分享给你的团队。开源项目需要大家的支持！
如果你喜欢这篇文章，欢迎点赞、在看、分享，让更多开发者了解这个神器！