Trivy

aquasecurity/trivyAI 已审核

用途

Trivy 是一款通过输入命令使用的扫描工具。它可以检查容器镜像、代码文件夹、Git 仓库、虚拟机镜像和 Kubernetes 集群，查找已知漏洞、有风险的配置、暴露的密码或密钥等敏感信息，以及软件许可证，还能列出其中的每个组件（即 SBOM）。它面向开发者以及 IT 或风险防护团队。Windows、Mac 和 Linux 都有现成的程序，无需安装其他工具。它由 Aqua Security 开发，该公司还销售基于它构建的付费平台。

安装难易度

B · 安装程序加一个简单步骤 · Windows

Windows B
macOS B
Linux B

在 Windows 上，发布的版本是压缩包里的现成程序（trivy_0.76.1_windows-64bit.zip），不需要安装其他工具，但你需要解压后在终端里输入命令来使用它。Mac 和 Linux 的方式相同，Linux 上还提供 .deb 和 .rpm 安装包。

GitHub 数据

星标: 38,8822026年10月31日
下载量: 61,440,046本周 2,635,024
增长: +1375 天内新增星标

星标变化

事实

可运行于: Windows, macOS, Linux
需要安装: 只需程序本身
从源码编译需要: Docker, Go
磁盘空间: 51 MB–154 MB · 根据安装程序
账号或密钥: 无
费用: 免费 · 免费（Apache-2.0 许可）。Aqua Security 销售一款基于 Trivy 构建的商业平台；该软件包未说明价格。
许可证: Apache-2.0 (宽松型)
可以替代: Snyk, Aqua Platform
最近更新: 2026年10月30日

风险信号 (3)

注意过去发生的供应链被篡改事件
2026 年的事件（由 Wiz 和 Snyk 披露）：2026-02-28 一个组织令牌被盗，2026-03-19 TeamPCP 团伙在 GitHub releases、Docker Hub、GHCR 和 ECR 中发布了被篡改的二进制文件，并重写了 trivy-action 的 76 个标签中的 75 个。维护者已经移除了这些恶意文件。请只下载事件之后发布的版本，并在使用前核对官方公布的 checksum 和签名。
AI 审核
信息Readme 中的商业推广
README.md: "If you liked Trivy, you will love Aqua which builds on top of Trivy to provide even more enhanced capabilities for a complete security management offering."
AI 审核
信息提供 canary 构建版本
README.md: "There are canary builds ... generated with every push to the main branch. Please be aware: canary builds might have critical bugs, so they are not recommended for use in production."
AI 审核

证据以原始语言显示。

Radar 无法验证的内容

首次运行时会下载多少数据，以及下载频率如何（这类工具通常会获取一个漏洞数据库）。
在 Windows 上扫描容器镜像是否需要 Docker 或其他容器工具，具体取决于你的情况。
在你自己的项目上，它会报告多少错误警报或漏报的问题。
你下载的发布文件是否与官方公布的 checksum 和签名一致。
2026 年遭篡改的版本是否仍有副本在镜像站、缓存或第三方渠道中流传。