bridgecrewio/checkov

这是什么？

核心功能

• 01内置针对 AWS、Azure 和 Google Cloud 的配置错误检查策略。
• 02支持扫描 Terraform、CloudFormation、Kubernetes、Helm、Kustomize、Dockerfile、Bicep、ARM 以及多种 CI 工作流文件。
• 03对容器镜像和开源依赖做软件成分分析，查找 CVE 漏洞。
• 04检测 AWS 凭证等敏感信息和高熵字符串。
• 05支持内联注释跳过和命令行白名单、黑名单，便于管理已接受的风险。
• 06结果可导出为 CLI、JSON、JUnit XML、CSV、SARIF 或 CycloneDX 格式。

适用场景

• 在 CI 流水线中，于执行 terraform apply 之前拦截不安全的云资源定义。
• 检查 Kubernetes 清单和 Helm Chart 中存在风险的容器配置。
• 在构建过程中扫描容器镜像和依赖中的已知 CVE 漏洞。
• 生成 SARIF 或 JUnit 报告，用于合规检查和代码扫描看板。

快速上手

1. 1

   使用 pip 安装 Checkov

   pip3 install checkov
2. 2

   扫描基础设施即代码目录

   checkov --directory /user/path/to/iac/code

使用前须知

• !需要 Python 3.9 至 3.12 版本。
• !部分功能（如按严重级别筛选检查项和容器镜像扫描）需要 Bridgecrew/Prisma Cloud API 密钥。

标签

常见问题

checkov 是什么？

静态分析工具，扫描基础设施即代码、容器镜像和开源依赖中的云配置错误与安全漏洞。 Checkov 对 Terraform、CloudFormation、Kubernetes 清单、Helm Chart、Dockerfile 和 GitHub Actions 等基础设施即代码文件进行检查，内置 1000 多条策略，覆盖 AWS、Azure 和 Google Cloud。它可以在部署前运行，在构建或 CI 阶段发现公开存储桶、未加密资源等配置问题。

checkov 可以免费使用吗？用的什么许可证？

checkov 以 Apache-2.0 许可证开源。用于商业产品前，请先确认许可证条款。

checkov 还在维护吗？

活跃维护中。checkov 最近一次提交是在 2026年10月20日。

checkov 适合用来做什么？

在 CI 流水线中，于执行 terraform apply 之前拦截不安全的云资源定义。 检查 Kubernetes 清单和 Helm Chart 中存在风险的容器配置。 在构建过程中扫描容器镜像和依赖中的已知 CVE 漏洞。 生成 SARIF 或 JUnit 报告，用于合规检查和代码扫描看板。

checkov 怎么安装和运行？

使用 pip 安装 Checkov: pip3 install checkov 扫描基础设施即代码目录: checkov --directory /user/path/to/iac/code

在哪里获取 checkov？

源代码和安装说明在 GitHub 上：https://github.com/bridgecrewio/checkov