aquasecurity/trivy

这是什么？

核心功能

• 01可扫描容器镜像、文件系统、远程 Git 仓库、虚拟机镜像和 Kubernetes 集群。
• 02检测操作系统包和软件依赖中的已知 CVE 漏洞。
• 03发现基础设施即代码中的配置错误和暴露的敏感信息。
• 04生成软件物料清单（SBOM）并统计软件许可证。
• 05通过 --scanners 参数按次选择需要运行的扫描器。

适用场景

• 在部署容器镜像前扫描其中的漏洞。
• 在 CI 流水线中检查 Terraform 或 Kubernetes 清单的配置错误。
• 审计 Kubernetes 集群中存在风险的工作负载。
• 检测代码仓库中硬编码的敏感信息。

快速上手

1. 1

   使用 Homebrew 安装 Trivy

   brew install trivy
2. 2

   或者通过 Docker 镜像运行 Trivy

   docker run aquasec/trivy
3. 3

   扫描一个容器镜像

   trivy image python:3.4-alpine

使用前须知

• !主分支生成的金丝雀构建版本可能存在严重缺陷，不建议用于生产环境。

标签

常见问题

trivy 是什么？

Trivy 是一款开源安全扫描工具，可检测容器、文件系统、Git 仓库、虚拟机镜像和 Kubernetes 中的漏洞、配置问题与敏感信息。 Trivy 是一款安全扫描工具，支持扫描容器镜像、文件系统、远程 Git 仓库、虚拟机镜像和 Kubernetes 集群。针对不同目标，它可以检测操作系统包和应用依赖中已知的 CVE 漏洞，生成软件物料清单（SBOM），发现基础设施即代码（IaC）中的配置错误，查找暴露的敏感信息，并统计软件许可证。

trivy 可以免费使用吗？用的什么许可证？

trivy 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。

trivy 还在维护吗？

活跃维护中。trivy 最近一次提交是在 2026年10月19日。

trivy 适合用来做什么？

在部署容器镜像前扫描其中的漏洞。 在 CI 流水线中检查 Terraform 或 Kubernetes 清单的配置错误。 审计 Kubernetes 集群中存在风险的工作负载。 检测代码仓库中硬编码的敏感信息。

trivy 怎么安装和运行？

使用 Homebrew 安装 Trivy: brew install trivy 或者通过 Docker 镜像运行 Trivy: docker run aquasec/trivy 扫描一个容器镜像: trivy image python:3.4-alpine

在哪里获取 trivy？

源代码和安装说明在 GitHub 上：https://github.com/aquasecurity/trivy