3. 镜像分层扫描原理：扫描引擎如何逐层分析、已知漏洞数据库(CVE)匹配、层间依赖关系分析

容器镜像并非单一二进制文件，而是由一系列只读层（Layer）堆叠而成的联合文件系统。每一层代表 Dockerfile 中的一条指令（如 RUN apt-get install、COPY）。镜像分层扫描的核心思想是：将扫描粒度从整个镜像下沉到每一层，从而精准定位漏洞引入的源头，并分析层与层之间的依赖传递关系。

3.1 分层扫描引擎的工作流程

现代扫描引擎（如 Trivy、Grype、Anchore）在分析镜像时，通常遵循以下四个阶段：

1. 层元数据解析：从 Registry 或本地拉取镜像 Manifest，获取层列表（Layer DiffID 与 ChainID）。
2. 层文件系统快照：对每一层解压并生成文件清单（File Inventory），记录文件路径、权限、哈希值。
3. 软件包索引构建：在每一层中识别操作系统包（dpkg/rpm/apk）与语言依赖包（pip/npm/jar），建立“层 → 包 → 版本”映射。
4. CVE 交叉匹配：将每层提取的包名与版本号，与本地或在线已知漏洞数据库（NVD、RedHat OVAL、GitHub Advisory）进行匹配。

3.2 已知漏洞数据库（CVE）匹配机制

扫描引擎在完成每层的软件包索引后，会执行三元组匹配：(包名, 版本号, 操作系统发行版)。匹配过程并非简单的字符串相等，而是包含版本范围比较与别名归一化。

3.3 层间依赖关系分析

层间依赖分析是分层扫描区别于传统扫描的核心能力。它解决两个关键问题：

• 漏洞是否被上层覆盖？——如果上层删除了一个包含漏洞的文件（通过 RUN rm 或 .dockerignore），该漏洞在运行时不可达，应标记为“已缓解”。
• 依赖是否跨层传递？——例如基础层安装 libssl1.1，应用层安装 python3 依赖 libssl1.1，则漏洞影响范围跨越两层。

扫描引擎通过构建层间文件差异图（Layer Diff Graph）来追踪每个文件的“出生层”与“死亡层”：

3.4 层间依赖分析的关键算法：Whiteout 与 DiffID

OCI 镜像规范定义了 Whiteout 文件（以 .wh. 为前缀）来标记某文件在特定层中被删除。扫描引擎通过以下逻辑判断漏洞是否仍存在于运行时：

// 伪代码：层间漏洞可达性判断
func IsVulnerabilityReachable(layers []Layer, vulnFile string) bool {
    birthLayer := findBirthLayer(layers, vulnFile)
    deathLayer := findDeathLayer(layers, vulnFile) // 通过 .wh. 文件判断
    if deathLayer != nil && deathLayer.Index > birthLayer.Index {
        return false // 文件已被上层删除，漏洞不可达
    }
    return true // 文件存在于最终层或未被删除
}

3.5 分层扫描结果的数据结构

扫描引擎最终输出的漏洞报告通常包含层归属信息，便于定位修复责任层。以下是一个简化的 JSON 结构示例：

{
  "vulnerabilities": [
    {
      "id": "CVE-2023-5363",
      "package": "libssl1.1",
      "installed_version": "1.1.1n",
      "fixed_version": "1.1.1w",
      "layer": {
        "index": 0,
        "diff_id": "sha256:abc123...",
        "instruction": "FROM debian:11-slim"
      },
      "reachable": true,
      "mitigation": "none"
    },
    {
      "id": "CVE-2023-38039",
      "package": "curl",
      "installed_version": "7.74.0",
      "fixed_version": "7.74.0-1.3+deb11u7",
      "layer": {
        "index": 0,
        "diff_id": "sha256:abc123...",
        "instruction": "FROM debian:11-slim"
      },
      "reachable": false,
      "mitigation": "removed_in_layer_2"
    }
  ]
}

3.6 分层扫描的工程化收益