Trivy 内嵌 Dockerfile在镜像构建阶段完成容器漏洞扫描【免费下载链接】trivyFind vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more项目地址: https://gitcode.com/GitHub_Trending/tr/trivy把 Trivy 扫描器直接嵌入 Dockerfile是让镜像构建即安全校验成为现实的轻量实践在RUN阶段针对当前构建出的文件系统运行trivy rootfs一旦发现漏洞即可借助--exit-code让docker build直接失败从源头阻止带病镜像进入仓库。本文基于 trivy 仓库的 embed-in-dockerfile.md 展开结合仓库内安装脚本、官方镜像与 CLI 定义给出可直接复制到 CI/CD 的完整方案。适用场景把安全扫描前置到镜像构建容器安全最理想的拦截点是漏洞进入镜像的前一秒。与其等镜像构建完成、推送到仓库后再通过trivy image事后扫描不如在 Dockerfile 中直接嵌入扫描步骤让构建过程同时充当质量门禁gate。原文档指出这一思路尤其适合那些目前正在使用 Aqua Microscanner 的 Dockerfile——只需用同样内嵌在构建流程中的 Trivy 扫描命令替换即可完成迁移。这种做法本质上利用了 Trivy 的 rootfs未打包文件系统扫描能力docker build的每个RUN都发生在一个基于当前镜像层构建出的临时容器中此时对/执行trivy rootfs就等价于对即将成为镜像内容的文件系统做一次完整扫描。仓库文档中关于 rootfs 的定位也与此一致——在 unpacked-filesystem.md 中它被用来直接分析docker export导出的文件系统而在 Dockerfile 内扫描/正是同一能力的构建期形态。方案一构建过程中安装 Trivy 并立即扫描原文档给出了最直接的写法——在目标镜像的构建层内下载 Trivy 二进制然后立刻对根文件系统发起扫描$ cat Dockerfile FROM alpine:3.7 RUN apk add curl \ curl -sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh | sh -s -- -b /usr/local/bin \ trivy rootfs --exit-code 1 --no-progress / $ docker build -t vulnerable-image .逐段拆解这段命令apk add curl该基础镜像需要 curl 才能执行下载安装后被同一层RUN内后续命令复用且不会残留在最终镜像的后续层中增加体积负担。curl -sfL ... | sh -s -- -b /usr/local/bin把仓库自带的 contrib/install.sh 管道给sh执行-s -- -b之后的参数透传给脚本-b /usr/local/bin表示把trivy可执行文件安装到该目录。该脚本由 godownloader 生成会先探测 OS/ARCH支持 Linux、macOS、FreeBSD、Windows 及 amd64、arm64、s390x 等架构再从https://get.trivy.dev/trivy下载对应压缩包并同时拉取trivy_version_checksums.txt做 SHA-256 校验后解压安装因此不是裸下载解压。trivy rootfs --exit-code 1 --no-progress /这是整个方案的核心扫描命令参数含义如下参数作用rootfs扫描目标类型为未打包的文件系统位置参数/即扫描当前容器根目录下的全部已安装内容--exit-code 1只要发现任何安全问题就返回退出码 1。Docker 的RUN步骤会捕获非零退出码并让docker build失败从而阻断镜像产出--no-progress关闭进度条输出。在构建日志与 CI 中输出干净的扫描结果避免进度条反复刷新干扰日志收集关于--exit-code的语义可在 pkg/flag/report_flags.go 中看到其定义specify exit code when any security issues are found发现安全问题时指定的退出码--no-progress的开关定义则位于 pkg/flag/db_flags.go。两者均为布尔/整型开关组合后即可实现发现问题即终止构建的硬门禁。需要留意的是rootfs 扫描首次运行需要下载漏洞数据库trivy-db到缓存目录默认$HOME/.cache/trivy可由全局参数--cache-dir调整在构建网络中应确保可以访问 Trivy 默认的数据库镜像源mirror.gcr.io/aquasec/trivy-db:2。方案二多阶段构建避免 curl | sh 也保持镜像纯净直接把 curl 下载放进目标镜像层虽然简单却存在两个明显缺点下载源不可控性curl ... | sh属于典型的从网络管道执行脚本脚本内容若被中间人替换影响的是构建期间执行的内容供应链风险镜像被污染Trivy 二进制被装进了目标镜像的运行层增加了最终交付镜像的体积除非使用多阶段RUN分层技巧刻意清理。原文档因此给出了更稳妥的多阶段构建multistage build方案[...] # Run vulnerability scan on build image FROM build AS vulnscan COPY --fromaquasec/trivy:latest /usr/local/bin/trivy /usr/local/bin/trivy RUN trivy rootfs --exit-code 1 --no-progress / [...]这里COPY --fromaquasec/trivy:latest ...直接从一个临时阶段vulnscan基于build阶段把官方 Trivy 镜像中的二进制拷贝进来完全绕过了curl | sh的管道执行风险同时因为扫描只发生在独立的vulnscan阶段最终产物镜像不包含 Trivy 可执行文件——扫描工具用完即走最终镜像内容不被改变。这个写法与仓库中的官方镜像定义是呼应的根目录 Dockerfile 显示官方 Trivy 镜像基于alpine:3.24.1安装ca-certificates与git并把trivy放置在/usr/local/bin/trivy同时以ENTRYPOINT [trivy]作为默认入口。也就是说COPY --fromaquasec/trivy:latest /usr/local/bin/trivy /usr/local/bin/trivy拷贝的是一个与官方使用方式一致、静态可执行的单一文件拷贝后即可在任意 Linux 基础镜像内直接运行。生产实践中建议把latest固定为具体的发布版本标签例如镜像 tag 指向某个正式 Release以保证同一 Dockerfile 在任意时间点构建出的行为可复现。rootfs 扫描的关键参数与构建门禁调优trivy rootfs的完整参数清单可在 trivy_rootfs.md 中查阅。除上述--exit-code、--no-progress外在构建门禁场景中以下参数尤其值得组合使用--severity UNKNOWN,LOW,MEDIUM,HIGH,CRITICAL默认全部与--exit-code搭配可只让中高危漏洞阻断构建。例如--exit-code 1 --severity HIGH,CRITICAL表示仅当存在高危及以上漏洞时才失败低危漏洞只出现在报告中避免门禁过严导致构建频繁中断。--ignore-unfixed只报告存在修复版本的漏洞。若构建门禁的目标是可修复漏洞必须清零此参数可屏蔽暂无上游修复的存量问题。--scanners vuln,secretrootfs 默认值即vuln,secretrootfs 模式默认同时检测漏洞与硬编码密钥secret也可扩展为vuln,misconfig,secret,license把 Dockerfile 配置检查、许可证问题一并纳入构建门禁。--skip-files/--skip-dirs按文件或目录支持 glob跳过扫描用于排除测试数据、缓存目录等非交付内容可显著缩短构建期扫描耗时并降低误报。--ignorefile默认.trivyignore指向忽略文件与--exit-code配合时可把已知并已接受风险的漏洞 ID 排除在门禁之外。--formattable/json/template/sarif/cyclonedx/spdx 等默认表格输出适合直接查看在 CI 中通常配合--format json或 SARIF 输出到文件-o report.json再交给上层流水线做告警聚合与归档。-q, --quiet/--skip-version-check前者抑制进度条与日志输出后者关闭版本更新提示两者都能让构建日志更加干净稳定。从命令解析实现看上述开关中--exit-code的默认值为 0即发现问题也不改变退出码其值在 pkg/flag/report_flags.go 中被注册为整型 flag只有显式传入非零值文档示例取 1才会在存在漏洞时让扫描命令以失败退出。这是理解为什么--exit-code 1能让docker build失败的源码级依据。相应地rootfs作为扫描目标类型在命令入口 pkg/commands/artifact/run.go 中被定义与image、fs、repo等目标并列进一步印证在构建现场扫描当前文件系统就是 Trivy 一等公民能力。进阶把构建期扫描扩展到更多交付物在 Dockerfile 里内嵌扫描与扫描未打包文件系统是一体两面。仓库在 unpacked-filesystem.md 中给出了 rootfs 扫描的另一种典型用法——先导出镜像文件系统再扫描$ docker export $(docker create alpine:3.10.2) | tar -C /tmp/rootfs -xvf - $ trivy rootfs /tmp/rootfs这一模式说明trivy rootfs不仅能在构建现场对/扫描也能对任意一个解包后的目录例如 CI 中由docker export导出的临时目录执行同等逻辑的漏洞检测。因此无论你采用内嵌 Dockerfile还是导出后扫描底层都收敛到同一条 rootfs 扫描链路门禁逻辑与参数调优完全通用。小结在 Dockerfile 中内嵌 Trivy是把安全左移到镜像构建阶段的最低成本方案直接curl | sh安装后扫描适合快速接入多阶段COPY --fromaquasec/trivy:latest则兼顾了下载安全性与最终镜像的纯净度配合--exit-code、--no-progress、--severity与--ignorefile等参数即可把镜像含高危漏洞从可发布变为构建失败让每一次docker build都同时成为一次可审计、可阻断的安全检查。若要进一步深挖可在仓库中继续阅读 contrib/install.sh安装脚本的下载与校验逻辑、Dockerfile官方镜像的构成、trivy_rootfs.mdrootfs 全部参数以及 pkg/flag/report_flags.go 与 pkg/commands/artifact/run.go--exit-code与 rootfs 目标的源码实现。【免费下载链接】trivyFind vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more项目地址: https://gitcode.com/GitHub_Trending/tr/trivy创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考