開發者喺部署容器應用前，總係擔心隱藏嘅漏洞同誤配置會成為安全隱患，尤其 Kubernetes 叢集同雲端環境越嚟越複雜，人工檢查根本跟唔上。Trivy 就係專為呢啲痛點而生嘅開源工具，由 Aqua Security 開發，能夠全面掃描容器映像、Kubernetes 配置、程式碼倉庫、雲端資源，甚至生成 SBOM（軟件物料清單），幫你即時發現漏洞、誤配置同洩漏秘密。無論係 DevOps 工程師定安全團隊，都可以用 Trivy 快速整合到 CI/CD 流程，減低部署風險。
單命令掃描容器漏洞同誤配置
Trivy 最強嘅地方在於佢嘅簡單易用，只需一個命令就可以掃描 Docker 容器映像，找出已知漏洞同常見誤配置。比起傳統掃描工具，Trivy 唔使額外安裝資料庫，內置最新漏洞資料庫，掃描速度快到幾秒內完成。呢個設計特別適合日常開發流程，例如喺 GitHub Actions 或 Jenkins 入面直接跑 trivy image your-image:tag，即刻生成詳細報告，包括 CVE 編號、嚴重度同修補建議。
除了基本漏洞掃描，Trivy 仲支援 IaC（Infrastructure as Code）檢查，例如 Terraform 同 Kubernetes YAML 檔，自動偵測不安全設定如公開端口或弱權限。呢啲功能讓團隊喺早期階段就捉到問題，避免生產環境出事。
偵測 Kubernetes 叢集同程式碼倉庫秘密洩漏
喺 Kubernetes 環境，Trivy 可以直接掃描叢集資源，包括 Pod、Deployment 同 ConfigMap，找出漏洞同誤配置。呢個功能對運行 K8s 嘅團隊特別實用，因為佢支援 fs（檔案系統）掃描模式，能夠檢查整個叢集嘅運行時狀態。同時，Trivy 仲內置秘密掃描器，能夠自動識別程式碼倉庫入面嘅 API 金鑰、密碼同私鑰，避免意外 commit 敏感資訊。
比起單純依賴 GitHub Secrets Scanning，Trivy 嘅優勢係支援更多格式同自訂規則，用家可以輕鬆整合到 pre-commit hook，確保每一次 push 前都過安全檢查。呢種全面覆蓋，讓開發者喺唔影響生產力嘅情況下，提升整體安全水平。
生成 SBOM 同雲端資源全面檢查
Trivy 唔止停留喺漏洞掃描，佢仲可以生成 SBOM，列出容器入面所有軟件套件同版本，方便合規審計同供應鏈安全分析。呢個功能符合 CycloneDX 同 SPDX 標準，直接輸出 JSON 或 SPDX 格式，易於整合到其他工具如 Dependency-Track。
對於雲端用戶，Trivy 支援 AWS、Azure 同 GCP 等主要雲平台，掃描 IAM 政策、儲存桶權限同資料庫配置。無論係多雲環境定混合部署，Trivy 都能提供統一嘅掃描介面，幫企業快速識別雲端誤配置風險。
多平台安裝同 Canary 版本試用
安裝 Trivy 超級簡單，支援 Homebrew、apt、yum 等套件管理器，亦有獨立二進制檔同 Docker 映像。官方仲提供 Canary builds，讓用家試用最新功能，而唔使擔心穩定性。通用用法就係 trivy fs . 掃描當前目錄，或者 trivy repo github.com/user/repo 檢查遠端 Git 倉庫。呢種單二進制、無依賴嘅設計，令 Trivy 成為 CI/CD pipeline 嘅首選。
Trivy 嘅名稱源自 “Tri”（三）同 “VY”（survey 的變形），代表全面調查；發音類似 “trivia”，易記易叫。作為開源項目，佢喺 GitHub 上有活躍社群，定期更新漏洞資料庫，確保掃描結果準確可靠。
產品名稱：Trivy
官方網站：https://github.com/aquasecurity/trivy
