镜像漏洞扫描

上线前扫描镜像 CVE：docker scout quickview（Docker 官方）或 trivy image 均可。重点看基础镜像与直接依赖的高危漏洞，及时换新基础版本。

Docker Scout	docker scout quickview app:1.2.3 / cves 明细
Trivy	trivy image --severity HIGH,CRITICAL app:1.2.3（可扫归档）
关注点	基础镜像过期、系统包 CVE、语言包依赖漏洞
治理	CI 设定阈值：高危阻断发布；Harbor 可配拉取时阻断

使用示例

docker scout quickview myapp:1.2.3
trivy image --severity HIGH,CRITICAL nginx:1.27-alpine

扫描依赖漏洞库时效：结论要标注扫描时间；修复后复扫确认闭环。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌