把应用打包成 Docker 镜像很方便，但镜像内部藏着什么风险，大多数团队并不清楚。一个基于 Debian 的基础镜像可能带着十几个高危漏洞，应用依赖的某个老版本 OpenSSL 库可能已经被公开利用。Trivy 就是为解决这类问题而生的开源工具，它简单到一条命令就能出结果，又强大到可以直接嵌入 CI/CD 流水线做漏洞门禁。这篇文章从安装讲起，一步步演示如何用它扫描镜像、过滤结果并落地到自动化流程中。
一、Trivy 是什么，为什么选择它
Trivy 由 Aqua Security 公司开源，使用 Go 语言编写，是一个单一二进制文件形式的容器漏洞扫描工具。它的工作原理并不复杂：扫描镜像时，Trivy 会解析镜像的每一层文件系统，识别出操作系统的包管理器数据库（比如 Debian 的 dpkg 数据、RedHat 的 rpm 数据），以及应用层语言依赖文件（比如 node_modules、site-packages），然后把这些组件信息与本地的漏洞数据库做匹配，最终输出漏洞列表。
选择 Trivy 而不是其他扫描工具，主要有几个原因。第一，零依赖，一个可执行文件就能跑，不需要安装数据库服务。第二，扫描速度快，本地数据库缓存机制让重复扫描只需几秒。第三，覆盖面广，支持 Alpine、Debian、Ubuntu、CentOS、Rocky、Amazon Linux 等主流发行版，也支持 Go Modules、npm、pip、maven、cargo、gem 等语言生态的依赖检测。此外它还能扫描 IaC 配置文件和密钥泄露，不过本文重点聚焦镜像漏洞扫描。
需要说明的是，Trivy 的漏洞数据库默认每隔 12 小时自动更新一次，数据来源于 NVD、GitHub Advisory、各发行版安全公告等多个上游源。如果服务器无法访问外网，也可以通过 --skip-db-update 跳过更新，或者用离线方式导入数据库。
二、安装 Trivy 并完成首次扫描
1. 安装方式
最简单的方式是用官方安装脚本，适合 Linux 和 macOS 环境：
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin
如果你用的是 macOS 且装了 Homebrew，直接执行 brew install trivy 即可。CentOS 或 Rocky 用户也可以添加 yum 源安装，Debian 系用户则可以用 apt 仓库。安装完成后执行 trivy --version 确认版本号，能正常输出版本信息就说明安装成功。
2. 扫描一个本地镜像
首次执行扫描时 Trivy 会下载数据库，体积大约几十 MB，需要等待一会。数据库就绪后，扫描一条命令搞定：
# 扫描本地已存在的镜像 trivy image nginx:1.24 # 扫描远程仓库中的镜像，无需先 pull 到本地 trivy image registry.cn-hangzhou.aliyuncs.com/myapp/web:v1.2.0
输出结果会按漏洞严重程度分组，从 CRITICAL 到 UNKNOWN 依次列出。每条记录包含 CVE 编号、对应组件包名、当前安装版本、修复版本以及漏洞简介链接。重点关注 FIXED VERSION 这一列，它告诉你升级到哪个版本可以消除漏洞，这是后续修复行动的直接依据。
3. 结果过滤技巧
全量输出往往太长，实际使用中通常只关心高危以上的漏洞，可以用 --severity 参数过滤：
# 只显示高危和严重级别的漏洞 trivy image --severity HIGH,CRITICAL nginx:1.24 # 只统计漏洞数量，不输出明细 trivy image --format json --output result.json nginx:1.24 # 忽略某些已评估过、暂不处理的漏洞 trivy image --ignore-unfixed nginx:1.24
其中 --ignore-unfixed 非常实用，它会跳过那些官方尚未发布修复版本的漏洞。这类漏洞暂时无解，列出来只会干扰判断。对于确实需要长期忽略的特定 CVE，可以在项目根目录维护一个 .trivyignore 文件，逐行写上 CVE 编号并注明原因，方便团队评审和追溯。
三、接入 CI 流水线做漏洞门禁
手动扫描只适合排查问题，要真正控制风险，必须把扫描变成发布流程中的强制环节。Trivy 提供了 --exit-code 参数，配合严重程度过滤，可以实现漏洞门禁：一旦发现超出阈值的漏洞，命令就以非零状态码退出，流水线随即失败，阻止问题镜像进入生产环境。
以 GitHub Actions 为例，一个典型的扫描任务可以这样写：
jobs:
scan:
runs-on: ubuntu-latest
steps:
- name: 扫描镜像
uses: aquasecurity/trivy-action@master
with:
image-ref: 'myapp/web:${{ github.sha }}'
severity: 'CRITICAL,HIGH'
exit-code: '1'
format: 'table'
如果团队使用 GitLab CI 或 Jenkins，思路完全一致：构建镜像后执行 trivy image --severity CRITICAL,HIGH --exit-code 1 镜像名。有些团队会做得更细，比如先设置 CI 环境变量 TRIVY_SKIP_DB_UPDATE=true 并提前缓存数据库目录，可以把单次扫描时间压缩到一分钟以内。
四、扫描之后的治理建议
拿到扫描报告只是起点，如何消化这些漏洞才是关键。实践中建议按优先级分层处理：CRITICAL 级别且存在修复版本的，必须在下一次发布前升级；HIGH 级别的纳入版本迭代计划；中低级别的可以按季度统一处理。对于系统库漏洞，最有效的方法往往是更换更精简的基础镜像，比如把 Debian 全量镜像换成 slim 版本，或者干脆改用 distroless、Alpine 镜像，组件数量减少了，漏洞自然随之下降。
另一个容易忽视的问题是镜像会随时间腐化。今天干净的镜像，三个月后漏洞数据库更新，可能就被扫出十几个新漏洞。所以扫描不能只做一次，建议每天对生产镜像做定时扫描，形成趋势报表，这样才能在漏洞爆发时快速评估受影响的镜像范围，及时止损。
总的来说，Trivy 把镜像漏洞扫描的门槛降到了极低的位置，几分钟就能上手。真正决定安全水位的，是团队是否把它嵌入流程、是否建立了漏洞响应机制。工具易得，习惯难养，尽早把扫描卡在构建环节，才是容器安全的正确打开方式。
TrivyDocker镜像扫描容器漏洞检测修改时间：2026-09-03 09:20:51