在构建阶段嵌入CVE扫描（如Trivy或Docker Scout）并设阈值中断流程，优选Hardened基础镜像、固定版本标签，通过多阶段构建、非root用户、只读运行等削减攻击面，并生成SBOM实现漏洞可追溯。
在构建阶段就发现并拦截CVE漏洞，比等上线前被安全团队拦停更高效。关键不是等漏洞出现再补，而是让扫描成为构建流水线里不可跳过的一步。
把扫描嵌入CI/CD构建流程
每次docker build完成后立即触发扫描，而不是等到推送或部署时才查。这样问题能定位到具体镜像层和引入路径，修复成本最低。
- 用Trivy集成进CI脚本：添加
trivy image --severity CRITICAL,HIGH your-image:tag，失败时中断流程 - Docker Scout可配合Docker Desktop v4.27+自动启用：构建后
docker push即触发扫描，结果直接回传CI日志 - 设置阈值策略，比如“发现1个CRITICAL漏洞即终止发布”，避免人工判断延迟
从源头控制基础镜像风险
多数高危漏洞不出现在你的代码里，而藏在FROM语句指定的基础镜像中。选镜像不是越新越好，而是要稳定+及时更新+轻量。
- 优先选用Docker官方Hardened Images（如
clickhouse/clickhouse-server:24.8-hardened），它们已移除非必要包、禁用不安全服务、使用最小化用户 - 避免
latest标签，固定使用带日期或版本号的镜像，例如ubuntu:22.04-20260401，便于审计和回滚 - 定期检查基础镜像的CVE状态：用
trivy image --ignore-unfixed ubuntu:22.04确认是否还有未修复的高危项
构建时主动削减攻击面
扫描只是发现问题，构建才是解决问题的起点。镜像越小、组件越少，潜在漏洞就越少。
- 采用多阶段构建：编译阶段用完整工具链，最终运行阶段只COPY二进制和必要配置，不带
gcc、curl等调试工具 - Dockerfile中显式声明非root用户：
RUN adduser --disabled-password -u 1001 appuser && chown -R appuser:appuser /app，再USER appuser - 用
--read-only和--tmpfs参数限制运行时写入能力，即使漏洞被利用也难持久化
用SBOM建立可追溯的依赖清单
光知道有漏洞不够，得清楚它来自哪一层、哪个包、什么版本。软件物料清单（SBOM）就是这张“成分表”。
- Docker Scout支持生成CycloneDX格式SBOM：
docker scout sbom your-image:tag --format cyclonedx > sbom.json - 将SBOM纳入制品归档，和镜像一起存储。后续扫描发现新CVE时，可快速反查哪些镜像受影响
- 结合Trivy的
--output json --format template输出结构化报告，接入内部漏洞管理平台做统一跟踪
