| 工具 | Trivy、Grype、Clair、云仓库自带扫描 |
|---|---|
| 阈值 | 按严重级与「是否存在修复版本」定阻断策略 |
| 重扫 | 漏洞库每日更新：历史制品需定期重扫，不能只信构建时结果 |
Trivy 示例
Trivy 示例
trivy image --severity HIGH,CRITICAL --exit-code 1 registry.example.com/app:1.8.0把扫描结果（SBOM 对应）纳入制品元数据：新漏洞披露时可快速定位受影响版本。
制品漏洞扫描
对镜像/包扫描已知漏洞并输出结构化结果：构建后扫描、入库扫描与准入扫描多点位配合，高危按策略阻断。
易错点
- 只扫描镜像不扫描宿主机与依赖清单：覆盖面向供应链扩散，分层扫描
- 新漏洞披露后无重扫机制：暴露窗口长期存在，安排周期性重扫
数据来源与参考
- Trivy 文档（Aqua Security）
- Grype 文档（Anchore）