Trivy 常见问题
常见问题
| 问题 | 回答 |
|---|---|
| Trivy 会修改我的镜像或代码吗 | 不会。它只读扫描，不写入目标，也不打补丁。 |
| 扫描公共镜像合法吗 | 扫描行为本身通常没问题，但请只扫自有镜像与已获书面授权的制品；未经授权批量扫描他人制品、或对外发布扫描结论，都可能越界。 |
| 为什么同一镜像两次扫描结果不同 | 漏洞库更新了。上游会持续追加新披露的 CVE 与修正数据，这是正常现象。 |
| 漏洞扫不出来就代表安全吗 | 不代表。Trivy 只比对已知漏洞库，发现不了零日、业务逻辑缺陷和运行时攻击。 |
| 能不能干脆不用忽略文件 | 可以，但前提是门禁级别调得足够克制。忽略文件不是问题，「没有到期日和责任人」才是问题。 |
| 报告可以贴到群里吗 | 漏洞信息本身不算敏感，但如果输出里带上了内部镜像地址、内网 registry 域名或构建凭据，就要先脱敏。 |
