1. 项目概述为什么要在Linux上安装Trivy如果你是一名运维工程师、安全研究员或者正在负责一个包含大量容器镜像和基础设施代码的项目那么“安全左移”这个词对你来说一定不陌生。简单来说就是在开发流程的早期就引入安全检查而不是等到应用上线后再去亡羊补牢。而Trivy正是实现这一理念的一把利器。它是一个简单、全面且快速的漏洞扫描工具由Aqua Security开发并开源能够一站式扫描容器镜像、文件系统、Git仓库、Kubernetes集群甚至基础设施即代码IaC配置文件中的安全漏洞、配置错误和敏感信息泄露。那么为什么我们特别强调在Linux系统下安装它原因很直接Linux是现代云原生和服务器端应用的事实标准操作系统。无论是作为Docker容器的宿主机还是作为运行CI/CD流水线的构建服务器亦或是作为管理Kubernetes集群的控制节点Linux都是最核心的战场。将Trivy部署在Linux上意味着你可以无缝地将安全扫描集成到你的自动化构建、部署和运维流程中。想象一下每次代码提交触发镜像构建后自动运行Trivy扫描新镜像或者在部署清单更新前自动检查其中的Kubernetes资源配置是否符合安全基线。这不仅能大幅提前发现风险更能将安全规范内化为开发流程的一部分。因此掌握在Linux上安装和配置Trivy是构建现代化、安全可靠的软件交付流水线的一项基础且关键的技能。接下来我将以一个拥有多年一线运维经验的视角带你从零开始深入拆解在Linux系统下安装Trivy的完整过程并分享那些官方文档里不会写的实战技巧和避坑指南。2. 安装前的核心考量与环境准备在动手敲下第一条安装命令之前花几分钟时间思考一下你的使用场景和系统环境能避免后续很多不必要的麻烦。Trivy虽然号称“简单”但不同的安装方式对应着不同的维护成本和灵活性。2.1 安装方式选型二进制包、包管理器还是容器Trivy官方提供了多种安装方式我们需要根据实际需求做出选择。1. 直接下载二进制文件推荐给大多数用户这是最通用、最直接的方式。Trivy项目在GitHub Releases页面为各种架构amd64, arm64等提供了静态编译好的二进制文件。你只需要下载、解压、放到系统路径里即可。优点版本控制灵活可以快速升级或回滚到特定版本不依赖系统包管理器兼容性最好几乎适用于任何Linux发行版。缺点需要手动管理二进制文件的更新。适用场景生产服务器、CI/CD流水线脚本、需要固定特定版本的环境。2. 使用包管理器适合追求系统集成度的用户Trivy为一些主流发行版提供了官方仓库支持比如通过apt安装于Debian/Ubuntu通过yum安装于RHEL/CentOS/Fedora。优点安装和升级与系统其他软件包一样方便可以通过apt update apt upgrade trivy一键更新。缺点仓库中的版本可能不是最新的需要配置额外的软件源。适用场景个人开发机、团队内部统一管理的服务器希望保持系统软件包管理的一致性。3. 使用Docker容器运行适合临时扫描或隔离环境你可以不“安装”Trivy而是直接通过Docker命令运行它docker run -v /path/to/scan:/path/to/scan aquasec/trivy [扫描目标]。优点完全免安装环境纯净与宿主机隔离。缺点每次运行都有启动容器的开销对需要扫描宿主机文件系统或集成到脚本中的场景命令写法稍显复杂需要处理卷挂载。适用场景临时性的扫描任务、不希望在本机安装额外工具的环境、作为CI/CD流水线中的一个独立步骤。对于长期使用和集成到自动化流程中我强烈推荐第一种方式——直接使用二进制文件。它提供了最大的控制权和最少的依赖问题也是后续我们讲解的重点。2.2 系统环境自查清单在开始安装前请快速确认以下几点系统架构在终端执行uname -m。最常见的是x86_64等同于amd64如果你使用的是树莓派或新的苹果MacM系列芯片可能是aarch64等同于arm64。这决定了你需要下载哪个版本的二进制文件。网络连通性Trivy在首次运行时需要从互联网下载漏洞数据库DB。请确保你的服务器可以访问github.com等相关域名。对于严格的内网环境需要后续配置离线数据库这部分我们会在“高级配置”中详细说明。磁盘空间漏洞数据库大约需要1GB左右的磁盘空间通常存放在$HOME/.cache/trivy目录下。请确保该分区有足够空间。权限安装二进制文件到系统路径如/usr/local/bin通常需要sudo权限。如果你只有普通用户权限可以安装到用户目录如$HOME/.local/bin并确保该目录在PATH环境变量中。注意如果你的服务器处于严格的网络隔离环境提前规划好离线方案至关重要。盲目安装会发现trivy image命令一直卡在Downloading DB...。这时你需要一台能通外网的机器预先下载好数据库再传输到内网服务器上。3. 分步实操三种主流安装方法详解下面我们分别以二进制文件安装、APT包管理器安装和Docker运行三种方式详细走一遍流程。我会以最常用的x86_64架构的Ubuntu 22.04系统为例但原理适用于大多数Linux发行版。3.1 方法一下载并安装二进制文件标准流程这是最可控的方法总共分四步下载、验证、安装、测试。步骤1确定版本并下载首先访问 Trivy 的 GitHub Releases 页面https://github.com/aquasecurity/trivy/releases查看最新的稳定版版本号。假设当前最新版是v0.50.0。 在终端中使用wget或curl下载对应架构的压缩包。我们下载 Linux 64位版本。# 定义版本变量方便后续维护和脚本化 TRIVY_VERSIONv0.50.0 # 使用 wget 下载 wget https://github.com/aquasecurity/trivy/releases/download/${TRIVY_VERSION}/trivy_${TRIVY_VERSION#v}_Linux-64bit.tar.gz步骤2验证文件完整性重要从网上下载的可执行文件验证其哈希值是一个好习惯可以确保文件在传输过程中未被篡改。Release页面通常会提供sha256sum校验文件。 下载校验文件并验证# 下载校验文件 wget https://github.com/aquasecurity/trivy/releases/download/${TRIVY_VERSION}/trivy_${TRIVY_VERSION#v}_checksums.txt # 计算下载的tar.gz文件的SHA256值 sha256sum trivy_${TRIVY_VERSION#v}_Linux-64bit.tar.gz # 从校验文件中提取对应行的哈希值进行比对 grep Linux-64bit.tar.gz trivy_${TRIVY_VERSION#v}_checksums.txt如果两个哈希值一致说明文件完好无损。步骤3解压并安装到系统路径解压下载的压缩包里面通常就一个名为trivy的二进制文件。# 解压 tar -xzf trivy_${TRIVY_VERSION#v}_Linux-64bit.tar.gz # 查看解压出的文件 ls -lh # 你应该能看到一个名为 trivy 的可执行文件 # 将其移动到系统可执行文件目录需要sudo权限 sudo mv trivy /usr/local/bin/ # 或者如果你没有sudo权限可以移动到用户目录 # mkdir -p ~/.local/bin # mv trivy ~/.local/bin/ # 然后确保 ~/.local/bin 在你的PATH中: export PATH$PATH:$HOME/.local/bin步骤4验证安装运行以下命令检查Trivy是否安装成功并查看版本。trivy --version如果安装成功你会看到类似Version: 0.50.0的输出信息。至此二进制安装完成。3.2 方法二通过APT包管理器安装Debian/Ubuntu如果你的系统是Debian或Ubuntu并且你希望用系统包管理器来管理Trivy可以按照以下步骤操作。步骤1添加Trivy的官方APT仓库首先需要安装一些必要的工具然后添加Aqua Security的APT仓库密钥和源列表。# 安装必要的工具用于管理HTTPS源和添加GPG密钥 sudo apt-get update sudo apt-get install -y wget apt-transport-https gnupg lsb-release # 下载并添加Aqua Security的GPG公钥 wget -qO - https://aquasecurity.github.io/trivy-repo/deb/public.key | sudo apt-key add - # 添加Trivy的APT源到系统源列表 echo deb https://aquasecurity.github.io/trivy-repo/deb $(lsb_release -sc) main | sudo tee -a /etc/apt/sources.list.d/trivy.list步骤2更新包列表并安装添加仓库后更新本地APT包缓存然后安装Trivy。sudo apt-get update sudo apt-get install -y trivy步骤3验证安装同样使用trivy --version验证安装。通过APT安装的Trivy后续可以通过sudo apt upgrade trivy来更新。实操心得使用APT安装虽然方便但需要注意官方仓库的更新可能比GitHub Releases稍慢几天。如果你急需某个新版本修复的漏洞扫描能力可能还是需要回退到二进制安装法。另外在一些定制化程度较高的Linux发行版上添加第三方仓库有时会遇到依赖冲突二进制文件的方式则完全避免了这个问题。3.3 方法三使用Docker容器运行免安装对于不想污染主机环境或者只是在CI/CD中临时使用一下的场景Docker方式是最干净的。基本运行命令# 扫描一个本地镜像 docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image [你的镜像名:标签] # 例如扫描本地的nginx:latest镜像 docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest image nginx:latest命令拆解--rm容器运行结束后自动删除避免留下无用的容器。-v /var/run/docker.sock:/var/run/docker.sock这是关键它将宿主机的Docker守护进程套接字挂载到容器内使得容器内的Trivy能够与宿主机Docker通信直接读取本地镜像库中的镜像进行扫描而无需先将镜像docker save出来。aquasec/trivy:latest指定使用的Trivy容器镜像latest标签指向最新版。在生产环境中建议使用固定版本标签如aquasec/trivy:0.50.0以保证扫描行为的一致性。image nginx:latest这是传递给容器内Trivy命令的参数意思是扫描名为nginx、标签为latest的镜像。扫描宿主机文件系统如果你想扫描宿主机的某个目录比如一个应用程序的根目录需要额外挂载目录docker run --rm -v /path/to/scan:/path/to/scan:ro -v /tmp:/tmp aquasec/trivy:latest filesystem --skip-db-update --skip-java-db-update /path/to/scan这里-v /path/to/scan:/path/to/scan:ro将宿主机目录以只读方式挂载进容器:ro(read-only) 是安全最佳实践防止扫描过程意外修改文件。注意事项Docker方式每次运行都会拉取最新的漏洞数据库除非使用缓存卷。在CI/CD流水线中这可能会增加任务执行时间。一种优化方案是使用一个持久化卷来缓存数据库或者使用一个预先下载好数据库的自定义镜像。对于频繁扫描的场景还是建议在宿主机上安装二进制版本。4. 首次运行配置与核心功能初探安装完成后不要急着去扫描生产镜像。我们先进行一些必要的初始配置并理解Trivy的核心工作模式。4.1 初始化与数据库更新首次运行任何扫描命令如trivy image或trivy fsTrivy都会自动尝试下载漏洞数据库。这个过程是自动的但我们可以通过命令手动触发或查看状态。# 手动更新漏洞数据库推荐在安装后立即执行 trivy --download-db-only # 或者更简洁的命令 trivy --download-db-only这个命令会从默认源GitHub下载最新的漏洞数据库到本地缓存目录~/.cache/trivy/db。在网络状况不佳的环境这个步骤可能会失败或很慢。配置国内镜像源加速重要技巧对于国内用户从GitHub下载几十到上百MB的数据库可能非常缓慢甚至超时。Trivy支持配置自定义的数据库镜像源。我们可以使用国内Gitee上的镜像。方法一通过环境变量配置临时TRIVY_DB_REPOSITORYhttps://gitee.com/aqua-security/trivy-db.git trivy --download-db-only方法二通过配置文件配置永久 Trivy的配置文件默认位于$HOME/.trivy.yaml或/etc/trivy/.trivy.yaml。我们可以创建或编辑它# ~/.trivy.yaml db: repository: https://gitee.com/aqua-security/trivy-db.git配置好后再次运行trivy --download-db-only下载速度会有显著提升。4.2 核心扫描模式快速上手Trivy支持多种扫描目标我们快速体验最常用的两种扫描容器镜像和扫描文件系统。1. 扫描一个公开的容器镜像让我们从一个最安全的公开镜像开始比如alpine:3.18。Alpine Linux以其小巧和安全著称非常适合做测试。trivy image alpine:3.18你会看到终端输出一个详细的表格列出了该镜像中所有软件包发现的漏洞包括漏洞ID如CVE-2023-XXXX、严重等级CRITICAL, HIGH, MEDIUM, LOW、关联的软件包和当前版本、修复版本等。首次扫描因为要下载数据库和解析镜像会稍慢一些后续扫描会利用缓存速度很快。2. 扫描本地文件系统目录假设你有一个项目的源码目录想看看里面有没有已知漏洞的依赖库比如Java的JAR包Python的wheel文件等。# 切换到你的项目目录 cd /your/project/path # 扫描当前目录 trivy fs .trivy fs会分析目录中的文件识别编程语言和依赖管理器如package.json,requirements.txt,go.mod,pom.xml等然后检查这些依赖是否存在已知漏洞。4.3 理解输出报告从信息过载到精准定位Trivy的默认命令行输出信息量很大。作为新手你可能会被满屏的CVE编号吓到。关键在于学会解读和过滤。严重性筛选使用--severity参数只关注高风险问题。trivy image --severity HIGH,CRITICAL alpine:3.18忽略特定漏洞如果某个漏洞在你的上下文中是误报或可接受风险可以将其ID添加到忽略文件.trivyignore中。# 创建 .trivyignore 文件 echo CVE-2019-12345 .trivyignore echo CVE-2020-6789 .trivyignore # 再次扫描被忽略的漏洞将不会显示 trivy image alpine:3.18输出格式除了默认的表格Trivy支持JSON、SARIF、CycloneDX等多种格式便于集成到其他系统。trivy image --format json alpine:3.18 report.json trivy image --format template --template /contrib/html.tpl -o report.html alpine:3.18上面第二条命令使用了内置的HTML模板生成一个美观的HTML报告非常适合发送邮件或存档。符号表示使用内置模板。避坑技巧对于trivy fs扫描它主要识别依赖声明文件如requirements.txt而不是直接分析散落的.py文件。如果你的Python项目使用pip freeze requirements.txt来生成依赖请确保这个文件是最新的否则扫描会漏掉实际安装的库。对于Java项目确保pom.xml或build.gradle文件存在且正确。5. 生产级集成CI/CD流水线与高级配置仅仅能在命令行里运行Trivy是远远不够的。它的真正威力在于与自动化流程的集成。这里我们探讨如何将其融入CI/CD以及一些满足企业级需求的高级配置。5.1 在GitHub Actions中集成TrivyGitHub Actions是当前最流行的CI/CD平台之一。集成Trivy非常简单。以下是一个基本的.github/workflows/trivy-scan.yml工作流示例它会在每次推送代码或发起Pull Request时构建Docker镜像并进行安全扫描。name: Security Scan with Trivy on: push: branches: [ main ] pull_request: branches: [ main ] jobs: build-and-scan: runs-on: ubuntu-latest permissions: contents: read security-events: write # 需要此权限以上传SARIF报告到安全选项卡 steps: - name: Checkout code uses: actions/checkoutv4 - name: Set up Docker Buildx uses: docker/setup-buildx-actionv3 - name: Build Docker image run: docker build -t my-app:${{ github.sha }} . - name: Run Trivy vulnerability scanner uses: aquasecurity/trivy-actionmaster with: image-ref: my-app:${{ github.sha }} format: sarif output: trivy-results.sarif severity: CRITICAL,HIGH # 只关注高严重性问题 - name: Upload SARIF report to GitHub Security uses: github/codeql-action/upload-sarifv3 if: always() # 即使扫描失败也上传报告 with: sarif_file: trivy-results.sarif这个工作流做了几件事检出代码设置Docker构建环境。使用代码的Git提交哈希${{ github.sha }}作为标签构建镜像。使用官方的trivy-action扫描刚构建的镜像并指定输出格式为SARIF一种安全报告标准格式。将SARIF报告上传到GitHub仓库的“Security”选项卡下的“Code scanning alerts”中。这样漏洞就会以Issue的形式被跟踪和管理非常清晰。5.2 在Jenkins Pipeline中集成Trivy对于使用Jenkins的企业可以在Pipeline脚本中调用Trivy。以下是一个声明式Pipeline的示例阶段pipeline { agent any stages { stage(Build) { steps { sh docker build -t my-app:${BUILD_ID} . } } stage(Security Scan) { steps { // 步骤1确保Trivy已安装可放在全局工具管理中 sh if ! command -v trivy /dev/null; then wget https://github.com/aquasecurity/trivy/releases/download/v0.50.0/trivy_0.50.0_Linux-64bit.tar.gz tar -xzf trivy_0.50.0_Linux-64bit.tar.gz sudo mv trivy /usr/local/bin/ fi // 步骤2更新数据库可配置为定期任务非每次执行 sh trivy --download-db-only --cache-dir /tmp/trivy-cache // 步骤3执行扫描并根据严重性设置退出码 sh trivy image --exit-code 1 --severity CRITICAL,HIGH my-app:${BUILD_ID} || echo 发现高危漏洞但继续流程... // 步骤4生成HTML报告存档 sh trivy image --format template --template /contrib/html.tpl -o trivy-report-${BUILD_ID}.html my-app:${BUILD_ID} archiveArtifacts artifacts: trivy-report-${BUILD_ID}.html } post { always { // 清理临时镜像 sh docker rmi my-app:${BUILD_ID} 2/dev/null || true } } } stage(Deploy) { // 只有安全扫描通过或可接受才会执行部署 steps { echo 部署到生产环境... } } } }关键参数--exit-code 1当发现指定严重性此处为CRITICAL和HIGH的漏洞时Trivy会返回非零退出码1这会导致Jenkins Pipeline的该阶段失败。你可以根据公司的安全策略调整这个阈值比如只让CRITICAL漏洞导致失败。5.3 高级配置离线环境、私有仓库与缓存优化1. 离线/内网环境部署在内网无法访问互联网的服务器上使用Trivy需要预先准备好漏洞数据库和必要的资源。下载离线数据库在一台有外网的机器上运行trivy --download-db-only和trivy --download-java-db-only如果需要扫描Java应用。数据库文件位于~/.cache/trivy/db/trivy.db和~/.cache/trivy/java-db/。传输文件将整个~/.cache/trivy目录打包复制到内网服务器的相同路径下通常是用户家目录下的.cache文件夹。运行扫描在内网服务器上运行Trivy时使用--skip-db-update和--skip-java-db-update参数告诉它不要尝试联网更新直接使用本地缓存。trivy image --skip-db-update --skip-java-db-update my-local-registry.com/my-app:latest2. 扫描私有容器镜像仓库Trivy支持扫描私有仓库如Harbor, AWS ECR, Google GCR等中的镜像但需要配置认证。使用Docker凭证最简单的方式是先用docker login登录到你的私有仓库。Trivy会读取~/.docker/config.json文件中的认证信息。docker login my-private-registry.com trivy image my-private-registry.com/group/project:tag通过环境变量指定凭证export TRIVY_USERNAMEyour-username export TRIVY_PASSWORDyour-password trivy image my-private-registry.com/group/project:tag3. 缓存优化以提升扫描速度Trivy会缓存镜像层和扫描结果。缓存目录默认在~/.cache/trivy。对于CI/CD环境你可以通过以下方式优化共享缓存目录在Jenkins Agent或GitHub Actions Runner上将缓存目录挂载到一个持久化卷上这样不同流水线任务可以共享缓存避免重复下载和解压镜像层。使用远程缓存实验性功能Trivy支持将缓存存储在Amazon S3、Google Cloud Storage等远程对象存储中适合分布式构建环境。这需要额外的配置具体可查阅官方文档。6. 常见问题排查与实战技巧实录即使按照指南操作在实际生产集成中你仍可能遇到各种问题。下面是我在多年实践中总结的一些典型问题及其解决方案。6.1 数据库下载失败或超时问题现象运行trivy image时长时间卡在Downloading DB...最后报错网络超时或连接被拒。原因与排查网络问题这是最常见的原因。Trivy默认从GitHub下载数据库国内网络访问可能不稳定。磁盘空间不足缓存目录所在磁盘已满。权限问题当前用户对缓存目录~/.cache/trivy没有写入权限。解决方案配置国内镜像源如前文所述在~/.trivy.yaml中配置Gitee镜像源是最有效的办法。手动下载并放置数据库如果镜像源也不行可以尝试用其他方式如浏览器、下载工具从GitHub Releases页面手动下载trivy.db.gz文件解压后重命名为trivy.db放置到~/.cache/trivy/db/目录下。注意版本兼容性最好下载与Trivy版本配套的数据库。检查磁盘和权限df -h ~/.cache # 检查磁盘空间 ls -ld ~/.cache/trivy # 检查目录权限6.2 扫描私有镜像时提示“UNAUTHORIZED”问题现象扫描私有仓库镜像时报错UNAUTHORIZED: authentication required。原因与排查Docker未登录或登录信息已过期。私有仓库地址拼写错误。使用的Token或密码权限不足。解决方案确保Docker已登录运行docker login 你的仓库地址并确认~/.docker/config.json文件中有对应的认证条目。显式传递凭证如果Docker登录信息不起作用可以尝试通过环境变量传递TRIVY_USERNAMEusername TRIVY_PASSWORDpassword或token trivy image 私有镜像地址检查仓库地址确保镜像地址完全正确包括仓库域名、项目组/命名空间、镜像名和标签。6.3 扫描结果中出现大量“LOW”或“MEDIUM”级别漏洞问题现象扫描一个基础镜像如ubuntu:22.04或大型应用镜像时报告列出成百上千个漏洞其中大部分是低危LOW或中危MEDIUM级别让人无从下手。原因这是正常现象。操作系统基础镜像包含大量软件包每个软件包都可能存在历史漏洞。许多低危漏洞可能已经通过其他方式缓解或者其攻击路径在你的具体应用中根本不可达。处理策略这才是经验之谈设定合理的策略基线不要追求“零漏洞”这不现实。与安全团队一起为不同环境开发、测试、生产设定可接受的漏洞严重性阈值。例如在CI环节只让CRITICAL和HIGH漏洞导致构建失败对于MEDIUM和LOW漏洞仅生成报告供审查。使用.trivyignore文件对于已知的、已评估过风险且决定接受的漏洞或者明确是误报的漏洞将其CVE ID添加到项目根目录的.trivyignore文件中。务必附上忽略理由和过期日期以便后续审计和复查。# .trivyignore # 误报该CVE影响的是XXX功能本应用未使用此功能 CVE-2021-12345 # 已评估风险低危无远程利用可能计划在下季度基础镜像升级中修复 CVE-2022-67890 # expires: 2024-12-31定期更新基础镜像很多漏洞的修复方法是升级软件包版本。定期如每月将你的应用镜像的基础镜像FROM语句后的镜像升级到最新的稳定版可以批量消除大量已知漏洞。使用Trivy的忽略策略文件.trivyignore.yaml这是一个更强大的YAML格式忽略文件支持按漏洞属性如严重性、类型、影响的包来批量忽略比单纯的CVE ID列表更灵活。6.4 在CI中扫描速度慢影响流水线效率问题现象集成Trivy后CI流水线的执行时间明显变长。优化方案启用缓存这是最重要的优化。确保Trivy的缓存目录~/.cache/trivy在CI Runner的不同执行之间是持久化的。在GitHub Actions中可以使用actions/cache在Jenkins中可以使用共享存储或将缓存目录作为工作区的一部分保留。只扫描变更层如果你使用Docker并遵循最佳实践构建镜像时未更改的层会被缓存。Trivy本身也会缓存层的扫描结果。确保你的CI环境能复用Docker构建缓存和Trivy扫描缓存。使用更轻量的扫描模式trivy image --light命令会使用一个更小的、仅包含最重要漏洞的数据库扫描速度更快但覆盖面会缩小。适合在开发阶段的快速反馈环中使用。异步扫描与门禁不必在每次推送都进行全量深度扫描。可以设置为每次Pull Request进行快速扫描--light每晚定时对主分支镜像进行全量深度扫描并生成报告。只在向生产环境部署时将深度扫描作为一道必须通过的“门禁”。6.5 生成定制化报告如Excel虽然Trivy原生不支持直接生成Excel报告网络热词中提到了此需求但我们可以利用其强大的JSON输出和脚本能力轻松实现。思路Trivy输出JSON格式报告然后用一个脚本如Python的pandas库将JSON转换为Excel。操作步骤使用Trivy生成JSON报告trivy image --format json --output scan-result.json nginx:latest编写一个简单的Python脚本json_to_excel.pyimport json import pandas as pd import sys with open(scan-result.json, r) as f: data json.load(f) # Trivy的JSON结构中漏洞信息在 Results - Vulnerabilities 下 vulnerabilities [] for result in data.get(Results, []): for vuln in result.get(Vulnerabilities, []): vuln[Target] result.get(Target, ) vulnerabilities.append(vuln) if vulnerabilities: df pd.DataFrame(vulnerabilities) # 选择需要的列 columns_to_keep [Target, VulnerabilityID, PkgName, InstalledVersion, FixedVersion, Severity, Title] df df[columns_to_keep] df.to_excel(trivy-report.xlsx, indexFalse) print(Excel报告已生成: trivy-report.xlsx) else: print(未发现漏洞。)运行脚本生成Excelpython3 json_to_excel.py这样你就得到了一个包含漏洞详情的Excel文件可以方便地分享给非技术团队成员或用于归档。你可以根据需要在Python脚本中定制表格的样式、排序和筛选逻辑。将Trivy集成到你的Linux工作流中绝不是简单的安装一个软件。它关乎流程的改造、标准的建立和团队安全意识的提升。从选择一个适合你环境的安装方式开始逐步将其融入构建、测试和部署的每一个环节并学会解读结果、制定策略、处理误报。记住工具的目的是赋能而不是制造恐慌。通过合理的配置和策略Trivy能成为你守护软件供应链安全的可靠哨兵而不是一个整天拉响无效警报的麻烦制造者。