概念介绍：Trivy 是什么，解决什么问题

概念介绍：Trivy 是什么，解决什么问题

Trivy 是 Aqua Security 开源的制品安全扫描器，用 Go 写成，编译后是一个静态二进制文件。它把「这个镜像/这个仓库/这套 IaC 里有没有已知漏洞、有没有写死的密钥、配置有没有踩坑」这几件事收进同一套命令行里完成。名字来自 trivial 与 tri 的组合，官方定位是 all-in-one scanner：一次安装，覆盖 OS 包、语言依赖、IaC 配置、密钥、SBOM 生成与复用五类目标。

它解决的问题很具体。传统镜像扫描器大多要求先跑一个常驻服务（daemon），再通过 API 或客户端提交镜像；运维要额外维护一个服务、一个数据库、一套升级流程。Trivy 把这层全部去掉：trivy image nginx:latest 一条命令就能出结果，扫完就退出，不占端口、不留进程。对于「在 CI 里跑一次、拿退出码卡门禁」这种最常见的用法，无 daemon 是决定性的优势——CI runner 是临时的，没有地方常驻服务。

第二个问题是覆盖面碎片化。过去要查容器漏洞装一个工具、查 Terraform 配置装另一个、查密钥再装第三个，三套规则三套输出格式。Trivy 用 --scanners 参数切换扫描器，输出格式统一，可以把漏洞、配置问题、密钥泄露写进同一份报告里。

与 Clair、Grype、Snyk、Docker Scout、Anchore 的区别

选型时的经验判断：如果目标是「CI 里跑一条命令，非零退出码就挡下构建」，Trivy 的接入成本最低；如果组织已经有一个集中式的镜像仓库要挂扫描后端，Clair 更省事；如果已经产出 SBOM、只想要漏洞比对，Grype 更轻。Trivy 的代价是首次运行必须下载漏洞库，在网络受限的环境里这一步往往是最容易出问题的地方，后文会专门讲。

核心术语表