什么是 Trivy

什么是 Trivy？

Trivy（Tri + vy，意为“触发 Envy”）是一款由 Aqua Security 开发的 开源安全扫描工具。它旨在帮助开发者、运维人员和安全团队快速识别容器镜像、文件系统、代码仓库及云原生基础设施中的安全风险。作为目前 DevSecOps 流程中最受欢迎的“左移安全”工具之一，Trivy 以其“一键式”易用性和“全方位”检测能力著称。

核心功能与特点

Trivy 通过一个统一的 CLI（命令行界面）或 Operator（K8s 插件）提供以下主要功能：

支持的扫描目标

Trivy 的适用范围非常广泛，不仅限于容器镜像：

1. 容器镜像 (Docker / OCI)：这是最核心的使用场景，支持从 Docker Hub、Harbor、ECR、GCR 等注册表直接拉取镜像扫描。
2. 文件系统 (File System)：直接扫描本地代码或解压后的文件系统，适用于本地开发调试。
3. Git 仓库 (Git Repository)：扫描远程或本地 Git 仓库，包括分支和标签。
4. Kubernetes 集群：扫描集群中的运行时镜像、Pod 配置以及 Helm Chart。
5. 基础设施即代码 (IaC)：专门扫描 Terraform、CloudFormation、Kubernetes YAML 等配置文件。
6. 云环境 (AWS, GCP, Azure)：通过插件或扩展模块支持扫描云资源配置（需结合插件使用）。

工作原理与技术架构

Trivy 的核心技术架构非常简洁高效，主要包括：

• Trivy CLI：用户直接交互的命令行工具，零依赖，启动即用。
• Trivy DB (漏洞数据库)：Trivy 通过 trivy-db 包含了来自 NVD、Red Hat、Debian、Alpine、GitHub Advisory 等渠道的漏洞信息。默认通过 GitHub 自动更新，每 12 小时同步一次最新漏洞。
• Scanner 模块：负责解包镜像、解析依赖关系树（Dependency Tree）并与数据库比对。

安装与使用

Trivy 极其易于安装和上手，支持多种安装方式：

# 通过 Homebrew（macOS / Linux）安装
brew install aquasecurity/trivy/trivy

# 通过 APT（Debian / Ubuntu）安装
sudo apt-get install -y trivy

# 通过 YUM（CentOS / RHEL）安装
sudo yum install -y trivy

# 直接下载二进制文件
curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sudo sh -s -- -b /usr/local/bin

安装完成后，执行以下命令即可快速扫描本地镜像：

# 扫描最新的 nginx 镜像
trivy image nginx:latest

相关链接

以下是获取 Trivy 及其资源的主要渠道：

• GitHub 项目地址（官方仓库）‍：https://github.com/aquasecurity/trivy
• 官方文档与使用指南：https://aquasecurity.github.io/trivy/
• Docker Hub 镜像：https://hub.docker.com/r/aquasecurity/trivy
• Aqua Security 官方博客：https://www.aquasec.com/blog/
• 中文社区教程：
  • https://developer.aliyun.com/article/1585509
  • https://blog.csdn.net/QHHHa/article/details/151622234

安全警示：2026 年供应链攻击事件

值得注意的是，作为 DevSecOps 流程中的关键工具，Trivy 本身在 2026 年 3 月曾被发现受到供应链攻击的波及。攻击者利用被窃取的凭证发布了恶意的 Trivy v0.69.4 版本，并通过 GitHub Actions 篡改了相关标签。

影响与应对：

• 影响版本：Trivy 二进制版本 v0.69.4 以及 aquasecurity/trivy-action 的早期标签。
• 建议措施：立即检查 CI/CD 流水线日志，确认是否拉取了受影响的版本；如有使用，请立即回滚至安全版本（如 v0.69.3）并重新生成密钥。

参考来源：该事件详细记录于 NVD（国家漏洞数据库）中，已建议用户将受影响的流水线密钥视为泄露并立即轮换。

总结：Trivy 是现代云原生安全生态系统中不可或缺的“瑞士军刀”，无论是单纯的镜像漏洞检测还是复杂的 IaC 配置审计，它都能提供快速且准确的解决方案。强烈建议在开发者本地环境和生产环境的 CI/CD 流水线中全面集成 Trivy，以实现真正的“左移安全”。