开发工具 / 全球
aquasecurity/trivy
Trivy 可检查镜像、文件系统、代码仓库和 Kubernetes 中的安全问题，将依赖漏洞、错误配置、密钥泄露及许可证线索放到同一工具中，适合开发与交付前检查。
+238近 7 天 Star
38,844总 Star
解决什么问题
项目把扫描对象与检查类型分开：对象包括容器镜像、文件系统、远程 Git 仓库、虚拟机镜像和 Kubernetes；检查内容包括操作系统及软件依赖清单、已知漏洞、基础设施配置问题、敏感信息与软件许可证，方便按实际环节组合使用。
值得关注的能力
例如构建镜像后可检查其中的软件包，代码提交前可检查工作目录中的密钥与配置，部署环境也能生成汇总报告。仓库列出了 GitHub Actions、Kubernetes Operator 和 VS Code 等集成入口，适合把检查接入现有流程，而不是只在发布前临时手工操作一次。
从哪里开始
可从发行页、包管理器或容器镜像获取工具，再按文档选择目标和扫描器。项目支持较多语言和平台，具体覆盖范围应查看官方清单。README 提醒主分支持续构建的 Canary 版本可能有严重缺陷，不建议直接用于生产；团队应选择适合自己的稳定版本和处理策略。