镜像安全扫描需贯穿全生命周期：上线前在仓库自动/手动扫描并设高危漏洞优先策略；上线后动态扫描本地镜像与运行容器，关注影响容器数并及时修复；通过trivy等工具嵌入ci/cd实现自动化闭环；还需建立白名单、完整性校验、最小权限及台账管理。
上线前：在镜像仓库中完成自动或手动拉取与扫描
镜像还没部署，风险就该被拦在门外。关键在于让扫描成为入仓必经流程：
- 腾讯云 TCR/CCR 仓库默认支持自动同步新镜像，只需在控制台点击“同步资产”，系统会自动拉取并触发扫描；
- Harbor 类私有仓库需手动接入：进入「镜像仓管理」→「添加镜像仓」，填写地址、认证凭据等信息后，才能开始拉取资产；
- 扫描启动后，工具会分析镜像文件系统，比对操作系统包、语言依赖（如 Python、Java 库）、配置文件等内容，匹配已知漏洞特征库（如 NVD、GitHub Advisory）；
- 建议设置扫描策略：优先识别带 EXP/POC、远程可利用、已在野利用的漏洞，这类漏洞修复应排在第一位。
上线后：对本地镜像和运行容器做动态风险评估
镜像拉到服务器后，环境可能变化，新漏洞也会不断披露，必须持续跟踪：
- 定期执行「一键扫描」：在容器安全控制台 → 漏洞管理 → 点击「立即扫描」，选择目标本地镜像或运行中的容器；
- 重点关注「应急漏洞」和「严重&高危漏洞镜像趋势图」，它能直观反映最近7天或30天内高危镜像数量是否上升；
- 查看漏洞详情时，注意「影响容器数量」字段——哪怕一个漏洞只影响1个运行中的容器，也可能成为攻击入口；
- 若发现漏洞影响线上业务，需结合修复建议（如升级组件版本、替换基础镜像）快速响应，避免“修了镜像但没更新容器”的断层情况。
用轻量工具嵌入开发流程，实现自动化闭环
靠人工点点点容易漏检，把扫描变成流水线一环才真正可靠：
- 推荐 Trivy：安装简单（
wget + dpkg或curl + sh），一条命令就能扫描本地镜像：trivy image nginx:latest； - 在 CI 脚本中加入扫描步骤，例如构建完镜像后立即执行
trivy image --severity HIGH,CRITICAL myapp:dev，结果超标则自动中断发布； - Docker Scout 适合 Docker Hub 用户：通过
docker scout onboarding start启用后，每次docker push都会自动触发云端扫描并生成报告； - 所有工具输出都包含 CVE 编号、CVSS 分数、受影响组件名和修复建议版本，开发人员可直接对标升级，不用再查补丁公告。
不只是扫描，还要管住“谁在用、用在哪、有没有改”
扫描只是起点，后续动作决定防护实效：
- 建立镜像准入白名单：只允许通过扫描且无严重漏洞的镜像标签（如
v2.3.1-sec）进入生产集群； - 对敏感镜像启用完整性校验：比对镜像 SHA256 值，防止传输或存储过程中被篡改；
- 配合最小权限原则：即使镜像有漏洞，限制容器能力（如
--cap-drop=ALL）、指定非 root 用户运行，也能大幅压缩攻击面； - 记录每次扫描时间、责任人、修复状态，形成可追溯的漏洞管理台账，满足合规审计要求。
