1. 课程导论

1.1 什么是 Trivy

Trivy 是一款由 Aqua Security 开源的综合性容器安全扫描工具。它以其“开箱即用、极速扫描、高准确率”的特点，在 DevOps 和 DevSecOps 社区中迅速普及。Trivy 能够检测多种类型的安全风险，包括：

• 操作系统软件包漏洞（如 Alpine、Debian、Ubuntu、CentOS 等）
• 应用依赖库漏洞（如 npm、pip、Maven、Go modules、RubyGems 等）
• IaC 配置错误（如 Terraform、CloudFormation、Dockerfile、Kubernetes manifests）
• 密钥与敏感信息泄露（硬编码密码、、SSH 密钥等）
• 容器镜像中的恶意软件

Trivy 支持多种扫描目标：容器镜像、文件系统、Git 仓库、Kubernetes 集群等。其核心优势在于：

1.2 为什么需要安全门禁

在传统的软件交付流程中，安全检测往往被放在上线前的“安全验收”环节，这导致两个严重问题：

1. 修复成本高： 漏洞发现越晚，修复成本呈指数级上升。生产环境中的漏洞修复需要紧急变更、回滚、补丁发布，耗时耗力。
2. 阻塞交付： 安全团队在发布前集中审核，一旦发现高危漏洞，整个版本被迫延期，开发与安全团队矛盾激化。

安全门禁（Security Gate） 正是为了解决上述问题而设计的机制。它是一组在 CI/CD 管道中自动执行的策略规则，当 Trivy 扫描结果不符合预设的安全基线时，管道会被阻断，阻止有风险的制品进入下一阶段（如测试环境、预发布环境、生产环境）。

安全门禁的核心价值：

• 自动化阻断： 无需人工审核，机器自动判断是否放行。
• 策略即代码： 安全策略以配置文件形式管理，可版本化、可审计、可复用。
• 渐进式安全： 允许低风险漏洞通过（如低危、信息类），仅阻断高危/严重漏洞，平衡安全与效率。
• 可观测性： 每次门禁决策都记录日志，便于事后追溯和合规审计。

1.3 课程整体架构

本课程共 30 章，分为四个阶段，从基础到实战，逐步构建完整的 Trivy 扫描结果门禁联动体系。

下图展示了本课程的核心架构与数据流：

1.4 学习目标

完成本课程后，你将具备以下能力：

• 独立部署与配置 Trivy： 掌握 Trivy 的多种安装方式（二进制、Docker、Helm），能够根据业务场景选择合适的扫描模式。
• 精通扫描结果解析： 能够熟练阅读 Trivy 的 JSON/SARIF 输出，提取关键字段（CVE ID、严重级别、修复版本、PkgName）。
• 设计安全门禁策略： 能够根据组织安全基线，设计基于严重级别、CVE 数量、特定 CVE 豁免、CVSS 分数的门禁规则。
• 实现 CI/CD 管道联动： 能够在 Jenkins、GitLab CI、GitHub Actions、ArgoCD 中编写管道脚本，集成 Trivy 扫描与门禁阻断逻辑。
• 构建门禁可观测性： 能够将门禁决策日志发送到 Elasticsearch/Splunk，并搭建 Grafana Dashboard 实时展示门禁通过率、阻断原因分布。
• 生产级运维能力： 掌握门禁策略的灰度发布、性能调优、故障排查方法，确保门禁系统本身的高可用。

1.5 课程适用人群