trivy-operator不实时hook容器启动，而是轮询k8s api扫描镜像声明；新pod未立即扫描因默认60分钟reconcileperiod，需启用scanallrunningpods或添加scan注解；私有镜像扫描依赖正确配置imagepullsecrets和registry凭证；结果陈旧多因configmap缓存、镜像digest未变或漏洞库未更新。
Trivy-Operator 不能自动扫描正在运行的 Pod 镜像 —— 它只扫描集群中已存在的 Image、Pod、Deployment 等资源的镜像字段，且默认不监听容器运行时层的实际进程或镜像层状态。 换句话说，它不等同于在节点上实时 hook 容器启动行为；它的“持续监控”本质是周期性轮询 Kubernetes API 获取镜像声明，并触发扫描。要真正覆盖运行中镜像，得确保声明与实际一致，且扫描策略配置到位。
为什么新部署的 Pod 没被立即扫描？
Trivy-Operator 默认使用 ReconcilePeriod（通常为 60 分钟）轮询已有资源，不是事件驱动型监听。刚创建的 Pod 不会立刻触发扫描，除非满足以下任一条件：
- 启用了
scanAllRunningPods: true（需在TrivyConfig或 Helm values 中显式开启） - 该 Pod 所属的
Deployment/StatefulSet资源本身被标记了trivy-operator.aquasecurity.github.io/scan: "true"注解 - 你手动创建了一个指向该 Pod 的
VulnerabilityReport或ConfigAuditReportCR（不推荐日常使用）
注意：scanAllRunningPods: true 会显著增加 API Server 查询压力，尤其在数百 Pod 规模下；建议搭配 namespaceSelector 限定范围。
如何让 Trivy-Operator 扫描私有仓库镜像？
关键不在 Operator 本身，而在它调用的 trivy 扫描器能否拉取镜像 —— 这取决于 Pod 运行时所用的 imagePullSecrets 是否被正确挂载到 Operator 的 scanner Job 中。
- Operator 默认使用
ServiceAccount（如trivy-operator）启动扫描 Job，但不会自动继承目标 Pod 的imagePullSecrets - 必须提前将私有仓库凭证以
Secret形式存入trivy-system（或你部署 Operator 的命名空间），并配置trivy.imagePullSecrets（Helm）或在TrivyConfig中设置credentials字段 - 若镜像地址含端口（如
harbor.example.com:8443/myapp:v1），Trivy 会尝试直连；确保 Operator 所在节点网络可达该地址，且证书可信（或配置insecureRegistries）
示例配置片段（TrivyConfig）：
apiVersion: aquasecurity.github.io/v1alpha1
kind: TrivyConfig
metadata:
name: default
spec:
credentials:
- registry: harbor.example.com:8443
secretRef:
name: harbor-creds
扫描结果没更新？检查这三处缓存机制
Trivy-Operator 为减少重复扫描，默认启用两级缓存：本地文件缓存（Job 内）和 Kubernetes ConfigMap 缓存（跨 Job）。常见“结果陈旧”问题多源于此：
-
TrivyConfig中的cacheBackend: configmap（默认）会把扫描结果存进trivy-cacheConfigMap，下次扫描相同镜像摘要（sha256:...）直接复用 —— 即使漏洞数据库已更新 - 若镜像标签（如
:latest）被覆盖重推，但 digest 不变，Operator 仍认为“未变更”，跳过扫描 - Trivy 自身漏洞数据库（
trivy-db）默认每 12 小时更新一次；若你禁用了自动更新（dbRepository: ""），缓存结果永远不反映新披露漏洞
临时绕过缓存的方法：给目标资源加注解 trivy-operator.aquasecurity.github.io/force-scan: "true"，强制重建扫描 Job。
真正落地时最容易被忽略的是镜像 digest 和标签的绑定关系 —— Trivy-Operator 依赖镜像 pull secret、网络通路、缓存策略、CRD 权限四者同时生效才能稳定产出报告。任何一环配置偏差（比如忘了给 trivy-system namespace 绑定 imagePullSecrets），都会导致静默失败：既无报错日志，也无 VulnerabilityReport 生成。
