api-evangelist/trivy

# Trivy Trivy 是 Aqua Security 推出的一款综合且多功能的开源安全扫描器，能够发现容器、Kubernetes、代码库、云等环境中的漏洞、配置错误、敏感信息和 SBOM。Trivy 可以作为 CLI 工具运行，也可以在带有 HTTP API 的客户端/服务器模式下运行，还可以作为 Kubernetes Operator 持续扫描集群，并生成作为原生 Kubernetes Custom Resources 的安全报告。 **网站：** [https://trivy.dev/](https://trivy.dev/) **GitHub：** [https://github.com/aquasecurity/trivy](https://github.com/aquasecurity/trivy) ## API 和接口 ### Trivy Server API 在客户端/服务器模式下运行 Trivy 时公开的 HTTP API。服务器维护漏洞数据库，并在端口 4954 上公开健康检查和版本端点。 - **文档：** [Client/Server Mode](https://trivy.dev/latest/docs/references/modes/client-server/) - **OpenAPI：** [openapi/trivy-server-openapi.yml](openapi/trivy-server-openapi.yml) ### Trivy Operator Kubernetes 原生 operator，可自动扫描集群并生成作为 CRD 的安全报告。定义了 12 种自定义资源类型。 - **文档：** [https://aquasecurity.github.io/trivy-operator/](https://aquasecurity.github.io/trivy-operator/) - **GitHub：** [https://github.com/aquasecurity/trivy-operator](https://github.com/aquasecurity/trivy-operator) ### Trivy CLI 用于扫描容器镜像、文件系统、Git 仓库、Kubernetes 集群、VM 和 SBOM 的主要接口。输出格式包括 JSON、SARIF、CycloneDX、SPDX 和表格。 - **文档：** [https://trivy.dev/latest/docs/](https://trivy.dev/latest/docs/) ## 工件 ### OpenAPI 规范 | 规范 | 描述 | |---|---| | [trivy-server-openapi.yml](openapi/trivy-server-openapi.yml) | Trivy 服务器模式 HTTP API | ### Kubernetes CRD (Trivy Operator) | CRD | 描述 | |---|---| | [aquasecurity.github.io_vulnerabilityreports.yaml](crd/aquasecurity.github.io_vulnerabilityreports.yaml) | 工作负载漏洞报告 | | [aquasecurity.github.io_configauditreports.yaml](crd/aquasecurity.github.io_configauditreports.yaml) | Kubernetes 配置审计报告 | | [aquasecurity.github.io_exposedsecretreports.yaml](crd/aquasecurity.github.io_exposedsecretreports.yaml) | 敏感信息泄露检测报告 | | [aquasecurity.github.io_sbomreports.yaml](crd/aquasecurity.github.io_sbomreports.yaml) | 软件物料清单 (SBOM) 报告 | | [aquasecurity.github.io_clustercompliancereports.yaml](crd/aquasecurity.github.io_clustercompliancereports.yaml) | 集群合规性报告 | | [aquasecurity.github.io_clusterconfigauditreports.yaml](crd/aquasecurity.github.io_clusterconfigauditreports.yaml) | 集群范围的配置审计报告 | | [aquasecurity.github.io_clusterinfraassessmentreports.yaml](crd/aquasecurity.github.io_clusterinfraassessmentreports.yaml) | 集群基础设施评估 | | [aquasecurity.github.io_clusterrbacassessmentreports.yaml](crd/aquasecurity.github.io_clusterrbacassessmentreports.yaml) | 集群 RBAC 评估 | | [aquasecurity.github.io_clustersbomreports.yaml](crd/aquasecurity.github.io_clustersbomreports.yaml) | 集群 SBOM 报告 | | [aquasecurity.github.io_clustervulnerabilityreports.yaml](crd/aquasecurity.github.io_clustervulnerabilityreports.yaml) | 集群漏洞报告 | | [aquasecurity.github.io_infraassessmentreports.yaml](crd/aquasecurity.github.io_infraassessmentreports.yaml) | 基础设施评估报告 | | [aquasecurity.github.io_rbacassessmentreports.yaml](crd/aquasecurity.github.io_rbacassessmentreports.yaml) | RBAC 评估报告 | ### JSON Schema | Schema | 描述 | |---|---| | [trivy-vulnerability-report-schema.json](json-schema/trivy-vulnerability-report-schema.json) | 包含 CVE 的漏洞报告 | | [trivy-scan-result-schema.json](json-schema/trivy-scan-result-schema.json) | 每个目标层的单次扫描结果 | ### JSON 结构 | 文件 | 描述 | |---|---| | [trivy-scan-structure.json](json-structure/trivy-scan-structure.json) | 扫描对象的结构文档 | ### JSON-LD Context | 文件 | 描述 | |---|---| | [trivy-context.jsonld](json-ld/trivy-context.jsonld) | Trivy 安全词汇的链接数据上下文 | ### Spectral 规则 | 规则集 | 描述 | |---|---| | [trivy-rules.yml](rules/trivy-rules.yml) | Trivy 服务器 API 的 API lint 规则 | ### Naftiko 功能 | 功能 | 描述 | |---|---| | [security-scanning.yaml](capabilities/security-scanning.yaml) | 安全扫描工作流 | **共享定义：** | 文件 | 描述 | |---|---| | [shared/trivy-server.yaml](capabilities/shared/trivy-server.yaml) | Trivy 服务器 API 使用的定义 | ### 示例 | 示例 | 描述 | |---|---| | [trivy-vulnerability-report-example.json](examples/trivy-vulnerability-report-example.json) | 容器镜像漏洞扫描输出 | | [trivy-health-check-example.json](examples/trivy-health-check-example.json) | Trivy 服务器健康检查 | ### 词汇表 | 文件 | 描述 | |---|---| | [trivy-vocabulary.yml](vocabulary/trivy-vocabulary.yml) | 安全扫描概念的领域词汇 | ## 常用资源 - **Aqua Security GitHub：** [https://github.com/aquasecurity](https://github.com/aquasecurity) - **GitHub Action：** [https://github.com/aquasecurity/trivy-action](https://github.com/aquasecurity/trivy-action) - **VS Code 扩展：** [https://github.com/aquasecurity/trivy-vscode-extension](https://github.com/aquasecurity/trivy-vscode-extension) - **Helm Chart：** [https://artifacthub.io/packages/helm/aqua/trivy-operator](https://artifacthub.io/packages/helm/aqua/trivy-operator) - **Docker 镜像：** [https://hub.docker.com/r/aquasec/trivy](https://hub.docker.com/r/aquasec/trivy) - **发布版本：** [https://github.com/aquasecurity/trivy/releases](https://github.com/aquasecurity/trivy/releases) *简介编制时间：2026-05*

标签：3D图, API安全, Aqua Security, Chrome Headless, CI/CD安全, CISA项目, DevSecOps, HTTP API, JSON输出, K8s Operator, Kubernetes安全, Llama, LLM防护, LNA, Nessus结果分析, SBOM, SMB, StruQ, Web截图, 上游代理, 云安全监控, 代码安全, 容器安全, 属性图, 开源安全扫描器, 日志审计, 活动识别, 漏洞枚举, 硬件无关, 聊天机器人, 请求拦截, 跌倒检测, 软件物料清单, 错误配置检测, 镜像扫描, 静态分析