aquasecurity/trivy 来源：https://github.com/aquasecurity/trivy [![GitHub Release][release-img]][release] [![Test][test-img]][test] [![Go Report Card][go-report-img]][go-report] [![License: Apache-2.0][license-img]][license] [![GitHub Downloads][github-downloads-img]][release] ![Docker Pulls][docker-pulls] [📖 文档][docs] Trivy（[发音][pronunciation]）是一款全面且多功能的漏洞扫描器。Trivy 拥有扫描器用于寻找安全问题，以及目标用于定位这些问题。 目标（Trivy 可扫描的对象）： - 容器镜像 - 文件系统 - Git 仓库（远程） - 虚拟机镜像 - Kubernetes 扫描器（Trivy 可发现的内容）： - 操作系统软件包及使用的软件依赖（SBOM） - 已知漏洞（CVE） - IaC 问题及错误配置 - 敏感信息与密钥 - 软件许可证 Trivy 支持大多数主流编程语言、操作系统及平台。完整列表请查看[扫描覆盖范围]页面。 如需了解更多，请访问 [Trivy 主页][homepage]了解功能亮点，或前往[文档网站][docs]获取详细信息。 ## 快速开始 ### 获取 Trivy Trivy 可通过大多数常见分发渠道获取。完整安装选项列表参见[安装]页面。以下是几个常见示例： - brew install trivy - docker run aquasec/trivy - 从 下载二进制文件 - 更多方式请查看[安装]页面 Trivy 已集成众多流行平台和应用程序。集成完整列表请查看[生态系统]页面。以下是几个常见示例： - GitHub Actions（https://github.com/aquasecurity/trivy-action） - Kubernetes 操作器（https://github.com/aquasecurity/trivy-operator） - VS Code 插件（https://github.com/aquasecurity/trivy-vscode-extension） - 更多请查看[生态系统]页面 ### Canary 构建版本 每次向主分支推送代码时，都会生成 canary 构建版本（Docker Hub (https://hub.docker.com/r/aquasec/trivy/tags?page=1&name=canary)、GitHub (https://github.com/aquasecurity/trivy/pkgs/container/trivy/75776514?tag=canary)、ECR (https://gallery.ecr.aws/aquasecurity/trivy#canary) 的镜像以及二进制文件 (https://github.com/aquasecurity/trivy/actions/workflows/canary.yaml)）。请注意：canary 构建版本可能包含严重缺陷，不建议在生产环境中使用。 ### 一般用法 bash trivy [--scanners <扫描器>] <目标> 示例： bash trivy image python:3.4-alpine 结果 https://github.com/user-attachments/assets/af1c11e7-d9c5-48af-8e05-cb34dfd6352a bash trivy fs --scanners vuln,secret,misconfig myproject/ 结果 https://github.com/user-attachments/assets/6b3894b7-77c5-4ffc-ac94-ffe6648a30dc bash trivy k8s --report summary cluster 结果 k8s 摘要 ## 常见问题 ### 如何发音 “Trivy”？ tri 的发音类似 trigger 中的 tri，vy 的发音类似 envy 中的 vy。 ## 想要更多？了解 Aqua 如果你喜欢 Trivy，你一定会爱上 Aqua——它在 Trivy 的基础上提供了更多增强功能，实现完整的安全管理方案。你可以在此（https://trivy.dev/docs/latest/commercial/compare/）查看针对 Trivy 用户的高层级对比表。此外，请访问网站了解更多关于我们产品和服务的信息。如果您想联系 Aqua 或申请演示，请使用此表单： ## 社区 Trivy 是 [Aqua Security][aquasec] 的开源项目。在此了解我们的开源工作与产品组合 [here][oss]。如有任何事宜，请通过 GitHub Discussion [在此][discussions]联系我们。 请确保在交互过程中遵守我们的[行为准则][code-of-conduct]。 [test]: https://github.com/aquasecurity/trivy/actions/workflows/test.yaml [test-img]: https://github.com/aquasecurity/trivy/actions/workflows/test.yaml/badge.svg [go-report]: https://goreportcard.com/report/github.com/aquasecurity/trivy [go-report-img]: https://goreportcard.com/badge/github.com/aquasecurity/trivy [release]: https://github.com/aquasecurity/trivy/releases [release-img]: https://img.shields.io/github/release/aquasecurity/trivy.svg?logo=github [github-downloads-img]: https://img.shields.io/github/downloads/aquasecurity/trivy/total?logo=github [docker-pulls]: https://img.shields.io/docker/pulls/aquasec/trivy?logo=docker&label=docker%20pulls%20%2F%20trivy [license]: https://github.com/aquasecurity/trivy/blob/main/LICENSE [license-img]: https://img.shields.io/badge/License-Apache%202.0-blue.svg [homepage]: https://trivy.dev [docs]: https://trivy.dev/docs/latest/ [pronunciation]: #how-to-pronounce-the-name-trivy [code-of-conduct]: https://github.com/aquasecurity/community/blob/main/CODE_OF_CONDUCT.md [安装]:https://trivy.dev/docs/latest/getting-started/installation/ [生态系统]: https://trivy.dev/docs/latest/ecosystem/ [扫描覆盖范围]: https://trivy.dev/docs/latest/coverage/ [alpine]: https://ariadne.space/2021/06/08/the-vulnerability-remediation-lifecycle-of-alpine-containers/ [rego]: https://www.openpolicyagent.org/docs/latest/#rego [sigstore]: https://www.sigstore.dev/ [aquasec]: https://aquasec.com [oss]: https://www.aquasec.com/products/open-source-projects/ [discussions]: https://github.com/aquasecurity/trivy/discussions