企业官网建设流程全解析

Trivy config 命令完全指南：用trivy config扫描 IaC 与配置文件中的错误配置

【免费下载链接】trivyFind vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more项目地址: https://gitcode.com/GitHub_Trending/tr/trivy

trivy config是 Trivy（统一安全扫描器）中负责对**配置文件 / 基础设施即代码（IaC）**执行错误配置（misconfiguration）扫描的子命令。它支持 Dockerfile、Terraform、CloudFormation、Kubernetes、Helm、Ansible、Azure ARM 等十余种配置类型，既可用内置的 checks bundle 规则开箱即用，也可通过 Rego 策略定制扫描范围。阅读本文后，你将完整掌握trivy config的语法、全部命令行选项的语义与默认值、各选项背后的源码实现逻辑，以及将其嵌入 CI 流水线的典型用法。

本文以官方 CLI 参考文档 docs/guide/references/configuration/cli/trivy_config.md 为骨架，并结合pkg/commands/app.go、pkg/flag/下的实现进行纵深说明。文中所有链接均指向当前仓库。

trivy config 命令是什么

在 trivy 命令总览 中，config是归入Scanning 组（groupScanning）的子命令，其别名（alias）为conf，一句Short描述即可概括其职责：

Scan config files for misconfigurations

基本语法如下：

trivy config [flags] DIR

它接收一个目录（DIR）作为参数，对该目录树内的配置文件进行错误配置扫描。与trivy fs等通用文件系统扫描不同，该命令在源码层面被专门收敛为"纯错误配置扫描"：

• 在 pkg/commands/app.go#L688-L760 的NewConfigCommand中，命令创建时通过options.DisabledAnalyzers = append(analyzer.TypeOSes, analyzer.TypeLanguages...)禁用了所有 OS 层与语言层分析器（不再探测系统包、语言依赖与漏洞）；
• 同时以options.Scanners = types.Scanners{types.MisconfigScanner}强制只启用 misconfig 扫描器；
• 最终以artifact.Run(cmd.Context(), options, artifact.TargetFilesystem)的形式，把DIR当作文件系统目标交给通用扫描管线执行。

因此，trivy config的输出聚焦于配置缺陷（如非安全的权限、暴露的管理端口、不符合规范的编排资源等），不会混杂容器漏洞与依赖漏洞信息。

注意：trivy config与trivy fs --scanners misconfig的可观测行为高度相似，但它省去了手动指定--scanners misconfig与关闭无关分析器的麻烦。此外，历史版本中形如--scanners config的写法已被废弃，在 pkg/flag/scan_flags.go#L54-L60 中会打印弃用告警并自动将其映射为 misconfig 扫描器。

全部命令行选项详解

下表按功能分组整理了trivy config支持的全部选项，均来自官方参考文档，并标注了其在源码中的定义位置（集中在 pkg/flag/misconf_flags.go、pkg/flag/rego_flags.go、pkg/flag/cache_flags.go、pkg/flag/report_flags.go），以及可供配置文件trivy.yaml使用的键名（ConfigName）。

IaC / 配置类型相关选项

这些选项决定"扫哪些配置类型、如何解析它们"，多数定义于 pkg/flag/misconf_flags.go。

Rego 自定义策略与 checks bundle 相关选项

内置规则由 OCI 形态的 checks bundle 下发，同时支持以 Rego 编写自定义策略。这些选项定义于 pkg/flag/rego_flags.go。

结合 docs/guide/scanner/misconfiguration/custom 与教程 docs/tutorials/misconfiguration/custom-checks.md 可编写自有策略，基本形态为：--config-check ./policy --check-namespaces user。仓库中的 examples/ignore-policies/basic.rego 与 examples/ignore-policies/advanced.rego 提供了可直接参考的 Rego 片段。

文件过滤与跳过选项

从 pkg/commands/app.go#L689-L697 可以看出：trivy config在完整 ScanFlagGroup 中只启用了上述--skip-dirs、--skip-files、--file-patterns、--skip-version-check、--disable-telemetry，其余通用扫描标志被有意关闭。

报告与输出选项

关于模板的取舍，源码 pkg/flag/report_flags.go#L220-L236 内置了校验逻辑：当指定--template但格式不是template时打印告警并忽略模板；反之若--format template而未指定模板同样告警。

缓存相关选项

trivy config的命令级默认缓存后端被改为memory（见 pkg/commands/app.go#L706-L707），因此在单次调用中默认不做磁盘缓存。

模块与凭据选项

从父命令继承的全局选项

这些选项对所有 Trivy 子命令通用，定义于 pkg/flag/global_flags.go：

典型用法示例

# 扫描当前目录下的 IaC/配置文件（Dockerfile、Terraform、K8s YAML 等自动识别） trivy config . # 只扫描指定类型的配置并只输出高危及以上 trivy config --misconfig-scanners terraform,kubernetes \ --severity HIGH,CRITICAL . # 以 JSON 输出并写入文件，供后续程序消费 trivy config --format json --output result.json ./infra # 在 CI 中作为质量门禁：发现问题即以退出码 1 结束 trivy config --exit-code 1 --severity HIGH,CRITICAL ./deploy # 渲染 Helm Chart 前先用自定义 values 试扫 trivy config --helm-values values-prod.yaml --helm-kube-version 1.28.0 ./chart # 加载自定义 Rego 检查与数据 trivy config --config-check ./policy --config-data ./data --check-namespaces user . # 跳过自动拉取 checks bundle（离线环境） trivy config --skip-check-update .

一次性扫描时，trivy config .默认不落盘缓存（--cache-backend memory）；若在 CI 中反复扫描同一目录并希望加速，可显式改用磁盘/Redis 后端，例如--cache-backend redis://localhost:6379。

命令行选项与配置文件、环境变量的对应关系

trivy config的所有选项都可以沉淀到trivy.yaml（默认由-c指定）。源码中每个 flag 都带有ConfigName，例如：

• --misconfig-scanners→misconfiguration.scanners
• --helm-set→misconfiguration.helm.set
• --tf-vars→misconfiguration.terraform.vars
• --cf-params→misconfiguration.cloudformation.params
• --config-check→rego.check
• --rego-error-limit→rego.error-limit
• --cache-backend→cache.backend
• --severity→severity
• --skip-dirs→scan.skip-dirs

参考 examples/trivy-conf/trivy.yaml 展示的写法，对应到 misconfig 场景的配置片段形如：

severity: - HIGH - CRITICAL exit-code: 1 misconfiguration: scanners: - terraform - kubernetes terraform: vars: - env.tfvars checks-bundle-repository: mirror.gcr.io/aquasecurity/trivy-checks:2 scan: skip-dirs: - .terraform rego: check: - policy namespaces: - user

此外，用户名/密码等敏感参数建议通过TRIVY_*环境变量注入（例如TRIVY_PASSWORD），避免在命令行与 CI 日志中明文泄露。通用配置机制的更多细节见 docs/guide/configuration/index.md。

背后执行流程：从命令到扫描

trivy config在源码层是一个"精简配置器 + 复用通用管线"的实现，理解它有助于预测命令行为：

1. 组装 flag 组：NewConfigCommand仅组合全局、缓存、Misconf、Module、Registry、Rego、报告与（裁剪后的）扫描 flag 组，并将缓存后端默认值覆盖为memory（pkg/commands/app.go#L688-L722）；
2. 裁剪报告选项：禁用与本命令无关的--dependency-tree、--list-all-pkgs、--exit-on-eol、--show-suppressed（pkg/commands/app.go#L699-L704）；
3. 绑定与转换：通过configFlags.Bind(cmd)绑定 Cobra 标志，再由ToOptions汇总为统一的Options；
4. 锁定扫描目标：RunE中把 OS 与语言分析器全部加入DisabledAnalyzers，把Scanners固定为MisconfigScanner（pkg/commands/app.go#L744-L748）；
5. 进入通用文件系统扫描：以TargetFilesystem调用artifact.Run，复用与trivy fs相同的分析、检测与报告流水线。

因此trivy config的结果结构与trivy fs --scanners misconfig一致，可无缝对接 SARIF、JUnit 等下游工具（模板见 contrib）。

与其他子命令及配套文档的关系

• 本命令的父命令为 trivy（Unified security scanner）；
• 错误配置扫描的整体概念与检查规则见 docs/guide/scanner/misconfiguration/index.md；
• 各配置类型（Dockerfile、Kubernetes、Terraform、CloudFormation、Helm、Ansible、Azure ARM 等）的检测细节见 docs/guide/scanner/misconfiguration/config/config.md；
• 自定义 Rego 策略开发参见 docs/guide/scanner/misconfiguration/custom 与教程 docs/tutorials/misconfiguration/custom-checks.md；
• 若同时需要扫描漏洞与密钥，应改用trivy fs/trivy repo并配合--scanners vuln,secret,misconfig。

小结

trivy config提供了一条聚焦 IaC 与配置文件的扫描路径：一条命令即可覆盖 Dockerfile、Terraform、CloudFormation、Kubernetes、Helm、Ansible、Azure ARM 等主流声明式配置，支持通过 Helm values/tfvars/CF 参数/Ansible 变量注入真实渲染上下文，并允许以 Rego 自定义规则与 JSON schema 扩展检测能力。结合--exit-code、--severity、--format sarif/json等选项，它可直接作为 IaC 上线前的自动化质量门禁；而其"禁用无关分析器、固定 misconfig 扫描器"的实现细节，也决定了它能保持输出聚焦、语义清晰的特点。

【免费下载链接】trivyFind vulnerabilities, misconfigurations, secrets, SBOM in containers, Kubernetes, code repositories, clouds and more项目地址: https://gitcode.com/GitHub_Trending/tr/trivy