harbor默认集成trivy（v2.0.0+）实现镜像漏洞扫描，需启用漏洞扫描、配置推送自动扫描或周期扫描，并定期更新cve数据库以保障结果准确性。
harbor 的镜像漏洞扫描功能默认集成 trivy（v2.0.0+），无需额外安装扫描引擎，关键在于启用、配置策略并触发扫描。以下是清晰、可落地的配置步骤。
确认并启用 Trivy 扫描器
Harbor 安装时若未开启漏洞扫描，需手动启用：
- 登录 Harbor 管理后台（需系统管理员权限）
- 进入 系统管理 → 配置管理 → 系统配置
- 找到 漏洞扫描 区域，确保 启用漏洞扫描 开关为开启状态
- 扫描器类型应为 Trivy（Clair 已从 Harbor v2.2.0 起移出默认支持）
- 如使用离线环境，可在 Trivy 设置中指定本地 CVE 数据库路径或启用定期离线同步
为项目设置默认扫描行为
扫描可按需触发，也可在镜像推送后自动执行：
- 进入目标项目 → 概览页 → 项目设置
- 勾选 推送时自动扫描镜像（推荐开启，实现“左移安全”）
- 该设置对后续所有新推送的镜像生效，已存在的镜像需手动扫描
- 注意：此功能依赖 Harbor 的 webhook 和扫描任务调度机制，确保 `harbor-jobservice` 容器运行正常
手动扫描单个或批量镜像
适用于验证、补扫或调试场景：
- 进入项目 → 镜像仓库 → Artifacts 页面
- 勾选一个或多个镜像（支持多选）
- 点击顶部工具栏的 扫描 按钮
- 扫描状态实时显示在镜像卡片右上角，点击可查看详细报告（含 CVE ID、CVSS 分数、受影响软件包及修复建议）
配置全局自动周期扫描
保障存量镜像持续受检，避免遗漏：
- 使用系统管理员账号，进入 系统管理 → 审查服务 → 漏洞页签
- 点击 编辑，启用 定期扫描
- 设置 Cron 表达式，例如：
0 0 * * *表示每天凌晨 0 点扫描全部镜像 - 保存后，Harbor 将按计划触发全量扫描任务，结果统一归集到各镜像详情页
不复杂但容易忽略的是：扫描结果依赖 Trivy 的漏洞数据库时效性。生产环境建议每周至少更新一次 CVE 数据库（可通过 Harbor UI 的扫描器页面手动触发更新，或配置定时脚本调用 Trivy CLI 同步）。
