Trivy：Go 语言编写的开源安全扫描工具

Trivy 是 Aqua Security 开发的开源安全扫描工具，专注于检测容器镜像、文件系统、代码仓库等场景中的安全漏洞、配置错误及敏感信息泄露问题。

GitHub 地址：https://github.com/aquasecurity/trivy

Trivy 凭借其全面的检测能力、易用性和开源特性，成为容器安全领域的核心工具。核心功能多场景覆盖：

• 支持扫描容器镜像、文件系统、Kubernetes 集群、Git 仓库及云环境，识别操作系统包（如 Alpine、Debian）和语言依赖项（如 npm、PyPI）的已知漏洞（CVE）；
• 高精度匹配：内置实时更新的漏洞数据库（如 NVD、Red Hat），提供漏洞描述、修复建议及影响范围分析；
• 配置错误检查：基础设施即代码（IaC）扫描：检测 Terraform、Kubernetes 等 IaC 文件的配置错误，例如权限过大或敏感端口暴露；
• 敏感信息泄露检测：自动扫描代码中的密钥、密码等敏感数据；
• 软件物料清单生成：自动生成符合 CycloneDX 或 SPDX 标准的 SBOM