容器镜像安全扫描是上线前必经关卡，需嵌入CI/CD流程；Trivy为首选开源工具，支持本地扫描、多维度检测、免安装运行，并可集成Harbor/GitLab等平台实现自动扫描与修复闭环。
容器镜像安全扫描不是可选项，而是上线前的必经关卡。核心在于把扫描嵌入构建流程，让漏洞在推送前就被拦截，而不是等镜像进了仓库才被动响应。
选一个趁手又可靠的扫描工具
Trivy 是当前最主流的开源选择——轻量、快、准确率高，尤其对 Alpine、Debian、RHEL 系列支持成熟。它不依赖数据库或复杂服务，一条命令就能跑起来：
-
本地快速验证：直接扫描已拉取的镜像，例如
trivy image nginx:1.25 - 支持多维度：不仅能查 CVE 漏洞，还能检出错误配置（如特权模式）、敏感文件、不合规的 IaC 模板
-
免安装运行：用
docker run --rm aquasec/trivy:latest即可调用，适合无权装软件的 CI 环境
把扫描塞进 CI/CD 流水线
扫描必须自动触发，不能靠人工想起来才执行。关键是在镜像构建完成后、推送前立即扫描，并按风险等级控制流程走向：
-
失败即阻断：加上
--exit-code 1 --severity HIGH,CRITICAL，一旦发现高危或严重漏洞，CI 任务直接失败，阻止带病镜像进入后续环节 -
输出标准化报告：用
--format sarif或--template "@contrib/gitlab.tpl"生成平台可识别的格式，GitHub/GitLab/Jenkins 都能自动解析并展示问题位置 -
绑定上下文：在 GitLab CI 中用
$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA扫描本次构建的精确镜像；GitHub Actions 中配合actions/checkout和docker build步骤串联
对接私有镜像仓库（如 Harbor / GitLab Registry）
很多团队用私有仓库管理镜像，扫描不能只盯本地缓存。要让工具能拉取并分析仓库里的镜像：
-
配访问凭证：在 CI 环境中设置
DOCKER_HUB_TOKEN或 Harbor 的 robot account token，作为环境变量或密钥注入 - 启用 Harbor Scanner Adapter：Harbor v2.0+ 原生支持 Trivy 插件，开启后所有新推镜像自动扫描，结果直接显示在 Web 界面的“Vulnerabilities”标签页
-
GitLab 集成示例：在
.gitlab-ci.yml中定义securitystage，用aquasec/trivy:latest镜像执行扫描，报告通过artifacts:reports:container_scanning提交到 GitLab 安全仪表盘
不只是扫，还要能定位和修复
扫描报告的价值取决于能否快速指导修复。Trivy 的输出会明确指出漏洞所在的包名、版本、CVE ID 和建议升级路径：
-
看准源头：比如报告提示
openssl@1.1.1w有 CVE-2023-0286，就去 Dockerfile 里找是否用了老旧的基础镜像（如FROM ubuntu:20.04），换成ubuntu:22.04或官方带补丁的ubuntu:20.04-20231201 -
跳过误报需谨慎：可用
--ignore-unfixed过滤未发布补丁的漏洞，但别盲目加--skip-dirs或忽略整个 OS 层——这等于绕过主要风险面 - 验证闭环：修复后重新构建、扫描、对比报告，确认原漏洞条目消失，且没引入新问题（比如升级 glibc 导致兼容性故障）
