4. Trivy 深度实践：安装配置、扫描命令、输出格式、与 CI 流水线集成

Trivy 是 Aqua Security 开源的综合性容器镜像安全扫描工具，以其轻量、快速、高准确率著称。本章将深入讲解 Trivy 的安装配置、核心扫描命令、多种输出格式以及如何将其无缝集成到 CI 流水线中，为后续的镜像安全故障排查与回滚策略奠定基础。

4.1 安装与配置

Trivy 支持多种安装方式，包括包管理器、二进制文件下载以及容器化运行。以下为推荐的生产环境安装方法：

配置建议：

• 数据库更新： 首次运行或每周至少更新一次漏洞数据库：trivy image --download-db-only
• 缓存目录： 设置 TRIVY_CACHE_DIR 环境变量，避免重复下载数据库。
• 私有仓库认证： 通过 --registry. 或 Docker 配置文件 config.json 进行认证。

4.2 核心扫描命令与参数

Trivy 支持多种扫描目标，包括容器镜像、文件系统、Git 仓库和 Kubernetes 集群。以下为最常用的扫描命令：

# 扫描本地 Docker 镜像
trivy image nginx:1.25.0

# 扫描远程仓库镜像（需认证）
trivy image registry.example.com/myapp:latest

# 扫描文件系统（如构建产物）
trivy filesystem --path /path/to/your/project

# 扫描 Git 仓库
trivy repository https://github.com/your/repo.git

# 扫描 Kubernetes 集群中的工作负载
trivy k8s --namespace default deployment/my-app

常用参数详解：

4.3 输出格式与解析

Trivy 支持多种输出格式，便于集成到不同工具链中。以下为三种主要格式的对比：

JSON 输出示例（关键字段）：

{
  "Results": [
    {
      "Target": "nginx:1.25.0 (debian 12.0)",
      "Vulnerabilities": [
        {
          "VulnerabilityID": "CVE-2024-XXXX",
          "PkgName": "openssl",
          "Severity": "CRITICAL",
          "FixedVersion": "3.0.13-1",
          "Title": "OpenSSL: ...",
          "PrimaryURL": "https://avd.aquasec.com/nvd/cve-2024-XXXX"
        }
      ]
    }
  ]
}

4.4 与 CI 流水线集成

将 Trivy 集成到 CI 流水线是实现“安全左移”的关键步骤。以下为 Jenkins 和 GitLab CI 的集成示例：

4.4.1 Jenkins Pipeline 集成

pipeline {
    agent any
    environment {
        TRIVY_VERSION = '0.50.1'
        IMAGE_NAME = 'myapp:latest'
    }
    stages {
        stage('Build Image') {
            steps {
                sh 'docker build -t ${IMAGE_NAME} .'
            }
        }
        stage('Trivy Scan') {
            steps {
                sh '''
                    docker run --rm \
                        -v /var/run/docker.sock:/var/run/docker.sock \
                        -v $HOME/.cache/trivy:/root/.cache/ \
                        aquasec/trivy:${TRIVY_VERSION} \
                        image --exit-code 1 --severity CRITICAL,HIGH \
                        --format json --output trivy-report.json \
                        ${IMAGE_NAME}
                '''
            }
            post {
                always {
                    archiveArtifacts artifacts: 'trivy-report.json'
                }
            }
        }
        stage('Deploy') {
            when {
                expression { currentBuild.result == 'SUCCESS' }
            }
            steps {
                sh 'docker push ${IMAGE_NAME}'
            }
        }
    }
}

4.4.2 GitLab CI 集成

stages:
  - build
  - scan
  - deploy

variables:
  TRIVY_VERSION: "0.50.1"
  IMAGE_TAG: $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA

build:
  stage: build
  script:
    - docker build -t $IMAGE_TAG .
    - docker push $IMAGE_TAG

trivy-scan:
  stage: scan
  script:
    - docker run --rm
        -v /var/run/docker.sock:/var/run/docker.sock
        -v $HOME/.cache/trivy:/root/.cache/
        aquasec/trivy:$TRIVY_VERSION
        image --exit-code 1 --severity CRITICAL,HIGH
        --format json --output trivy-report.json
        $IMAGE_TAG
  artifacts:
    paths:
      - trivy-report.json
    when: always

deploy:
  stage: deploy
  script:
    - echo "Deploying $IMAGE_TAG"
  only:
    - main

4.5 Trivy 扫描流程架构

下图展示了 Trivy 在 CI 流水线中的典型扫描流程，从镜像构建到安全扫描，再到结果输出与阻断决策：

4.6 常见问题与故障排查