容器安全扫描用Trivy

网上关于这个的资料不少，但很多都只讲原理不给代码。这里补一个完整的可运行示例，亲测有效。

先搞清楚原理

要理解Trivy，先得搞清楚基础设施自动化这个机制。直接看代码比看文字描述来得快：

version: '3.8'
services:
  app:
    build: .
    ports:
      - '8000:3000'
    environment:
      - NODE_ENV=production
      - DB_HOST=db
    depends_on:
      - db
      - redis
    restart: unless-stopped
    deploy:
      replicas: 1
      resources:
        limits:
          memory: 512M

  db:
    image: postgres:15-alpine
    volumes:
      - pgdata:/var/lib/postgresql/data
    environment:
      POSTGRES_DB: myapp
      POSTGRES_PASSWORD: secret

  redis:
    image: redis:7-alpine
    command: redis-server --maxmemory 256mb

volumes:
  pgdata:

实际怎么用

实际编码中，Trivy的用法可以简化。下面是我在项目中用的写法，经过几轮迭代优化过：

# Prometheus alerting rules
groups:
  - name: system_alerts_57
    rules:
      - alert: HighMemoryUsage
        expr: (node_memory_MemUsed_bytes / node_memory_MemTotal_bytes) * 100 > 80
        for: 5m
        labels:
          severity: warning
        annotations:
          summary: "Memory usage above 80%"

      - alert: HighDiskUsage
        expr: (node_filesystem_avail_bytes{mountpoint="/"} / node_filesystem_size_bytes{mountpoint="/"}) * 100 < 20
        for: 10m
        labels:
          severity: critical
        annotations:
          summary: "Disk space below 20%"

      - alert: ServiceDown
        expr: up == 0
        for: 2m
        labels:
          severity: critical

进阶一点的用法

进阶一点的话，Trivy还有基础设施自动化这个方向可以探索。原理不展开，直接看关键代码：

容易踩的坑

踩坑经验分享：Trivy在基础设施自动化方面有几个暗坑。最常见的是参数默认值不符合预期，其次是并发场景下的竞态条件。建议加上防御性检查。

写在最后

Trivy这块先整理到这里。资源限制是最重要的部分，务必理解透彻。如果遇到问题，先检查配置和版本，大部分报错都是这两个原因。