懒猫微服部署 Trivy Web UI 让应用镜像风险一键可见

# 懒猫微服部署 Trivy Web UI 让应用镜像风险一键可见

https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.liu.trivy

## Why - 为什么选择 Trivy Web UI？

### 应用场景
- **应用审核前检查**：在懒猫微服应用商店审核镜像时，先确认是否存在高危漏洞。
- **初次部署体检**：自己准备安装的应用，在安装前或刚部署完成立即扫描。
- **安全敏感自检**：对安全要求较高的用户，定期抽查常用镜像的风险状态。

### 解决的痛点
- 懒猫应用镜像无法从外网获取，传统 Trivy 无法直接扫描。
- 多人分别在终端执行 Trivy 时，重复下载体积巨大的漏洞数据库。
- 纯命令行操作门槛高，配置差异导致扫描策略不一致。

### 方案优势
- **内网直连**：部署在懒猫微服内部，可直接访问受保护的商店镜像。
- **可视化体验**：表单化配置、实时日志、结果导出，降低安全工具的入门难度。
- **离线加速**：内置本地漏洞数据库，可通过环境变量自定义镜像源并定期更新。
- **漏洞库复用**：本地命令行可指向服务器漏洞库，避免重复下载资源。

## What - Trivy 与 Trivy Web UI 是什么？

### Trivy 的定位
- 轻量级安全扫描器，覆盖容器镜像、文件系统、依赖包、IaC 模板等多种资产。
- 支持 CVE 漏洞、配置合规、敏感信息等多维度检查。

### Trivy Web UI 的角色
- 部署在懒猫微服上的 Web 管理界面，为 Trivy 提供可视化入口。
- 负责镜像源管理、仓库凭据录入、扫描配置、风险报告导出与历史追踪。
- 通过场景模板固化常用设置，帮助个人快速复用安全检查流程。

## Who - 谁适合使用？

### 目标用户
- 懒猫微服应用的审核人员，在审核流程中顺手检查镜像安全。
- 对懒猫微服生态安全特别敏感的个人用户，想在安装前后掌握镜像风险。
- 自行构建或修改镜像、希望在发布前做最后一次安全确认的个人开发者。

### 前置准备
- 确认已在懒猫微服应用商店安装好 Trivy Web UI。
- 准备好目标镜像所在仓库的访问凭据（如有）。
- 了解自己对漏洞等级的接受阈值，方便设置过滤策略。

## When - 什么时候使用？

### 关键时刻
- 将镜像提交到懒猫微服应用商店审核之前。
- 在自己的懒猫微服上首次部署或升级第三方应用时。
- 发现相关镜像有新增漏洞通告、想确认风险程度时。

### 使用节奏
- 审核和部署环节视为必做步骤，保障第一时间掌握风险。
- 如果对安全格外敏感，可建立自己的周期性扫描计划（如每月或每季度）。
- 当收到安全事件或社区提醒时，及时补扫重点镜像。

### 扫描结果有效性
- Trivy 官方漏洞库每 6 小时构建更新一次，建议定期重新扫描关键镜像以获取最新风险评估。
- Trivy Web UI 内置的离线漏洞库会随应用更新而刷新，关注应用商店的版本更新提示即可。
- 对于长期运行的生产镜像，建议至少每月重新扫描一次，以发现新披露的漏洞。

## Where - 在哪里部署与操作？

### 部署位置
- 懒猫微服务器内置 Trivy 服务与 Web UI，无需额外安装。
    - ![Shot 2025.10.19 at 22.30.40.png](https://dl.playground.lazycat.cloud/guidelines/703/33bf6d36-57fa-4d23-b976-6fb2fe24a2fa.png "Shot 2025.10.19 at 22.30.40.png")
- 服务监听固定端口（Trivy Server 的 API 端口为 59902）。

### 可扫描的镜像来源
- 懒猫应用商店镜像（直接读取宿主机缓存）。
    - ![Shot 2025.10.19 at 22.31.26.png](https://dl.playground.lazycat.cloud/guidelines/703/cae45425-2814-4bbc-82c2-1c6989abcffe.png "Shot 2025.10.19 at 22.31.26.png")
- 私人或团队自建的镜像仓库。
- 公有仓库：Docker Hub、阿里云容器镜像服务等，只要网络可达即可。

### 访问终端
- 推荐使用桌面浏览器访问 Web UI，便于查看报告与管理模板。
- 若习惯命令行操作，可在局域网终端通过 Trivy CLI 调用服务器。

## How - 如何配置与使用？

### 一、初次登录与界面巡览
- 1. 打开懒猫微服应用入口，访问 Trivy Web UI。
    - ![Shot 2025.10.19 at 22.32.55.png](https://dl.playground.lazycat.cloud/guidelines/703/d361deea-4da2-40b3-a448-8d5f8c624b1b.png "Shot 2025.10.19 at 22.32.55.png")
    - 页面底部会有应用版本号，以及该应用代码仓库的链接。
- 2. 使用平台账号登录，进入“镜像扫描配置”页面。
    - ![Shot 2025.10.19 at 22.34.03.png](https://dl.playground.lazycat.cloud/guidelines/703/ec4d4acf-cb4c-419d-a97e-0cac139c669d.png "Shot 2025.10.19 at 22.34.03.png")
- 3. 熟悉页面布局：顶部为镜像地址与凭据，中部为扫描选项，高级选项与配置管理位于折叠面板，底部展示扫描历史。
    - ![Shot 2025.10.19 at 22.46.56.png](https://dl.playground.lazycat.cloud/guidelines/703/1a2432d5-eb20-4a7a-8ee9-49b8bedbe7d7.png "Shot 2025.10.19 at 22.46.56.png")

### 二、基础扫描配置

1. **指定镜像**：在“镜像地址”栏输入完整地址，或点击“从宿主机选择”读取本地镜像列表。

https://appstore.lazycat.cloud/#/shop/detail/top.j0k3r.lpk-inspector

   - 1. 你可以通过 懒猫应用查看器，在部署应用前就获取到应用依赖的镜像地址。
       - ![Shot 2025.10.19 at 22.38.43.png](https://dl.playground.lazycat.cloud/guidelines/703/1fc8e6cd-6ef2-435e-b516-d537e4a2af91.png "Shot 2025.10.19 at 22.38.43.png")
   - 2. 你可以通过应用本身的 从宿主机选择 来获取运行中和本地全量的镜像地址列表。
       - ![Shot 2025.10.19 at 22.40.34.png](https://dl.playground.lazycat.cloud/guidelines/703/bea2af88-fd32-4434-a80e-4f844c850629.png "Shot 2025.10.19 at 22.40.34.png")

2. **配置凭据**：如目标仓库需认证，填写用户名与密码，可选择启用 TLS 证书校验。
   - 1. 如果是扫描 懒猫微服 **原生镜像**（镜像地址前缀是 registry.lazycat.cloud），不需要配置凭据，并且需要取消 `启用 TLS 证书校验
   - 1. 如果是其他私有镜像仓库，请配置相关的凭据。
   - 3. **安全提示**：默认不保存密码，每次需重新输入。若需保存密码便于重复扫描，可在应用配置中设置环境变量 `TRIVY_ALLOW_PASSWORD_SAVE=true`。建议使用只读权限的凭据以降低风险。
3. **选择扫描选项**：
   - 漏洞严重等级：限定需要关注的最低等级（默认全部）。
     - ![Shot 2025.10.19 at 22.43.50.png](https://dl.playground.lazycat.cloud/guidelines/703/f83f5ce0-3f21-4198-ad74-d07415636b6d.png "Shot 2025.10.19 at 22.43.50.png")
     - **推荐策略**：生产环境或商店审核建议关注 HIGH 及以上；个人测试环境可只关注 CRITICAL，减少信息过载。
   - 检测优先级：切换精准模式以降低误报，或选择速度优先。
     - ![Shot 2025.10.19 at 22.44.14.png](https://dl.playground.lazycat.cloud/guidelines/703/35564a5e-23e5-404c-b233-922d99454348.png "Shot 2025.10.19 at 22.44.14.png")
   - 包类型：是仅扫描基础镜像的漏洞，还是仅扫描应用自身的漏洞。
     - ![Shot 2025.10.19 at 22.44.32.png](https://dl.playground.lazycat.cloud/guidelines/703/b62b8692-055b-4506-8680-75df464fc1c4.png "Shot 2025.10.19 at 22.44.32.png")
   - 输出格式：JSON、HTML 等，方便保存记录或与他人分享。
     - ![Shot 2025.10.19 at 22.45.09.png](https://dl.playground.lazycat.cloud/guidelines/703/7b77b77f-c9ec-46f7-9a64-d230f31d26e3.png "Shot 2025.10.19 at 22.45.09.png")
     - 详细说明请参考 Trivy 官方文档。
4. **配置输出选项**：确认输出格式，并在需要时勾选"只显示有修复方案的漏洞"等过滤项。
    - ![Shot 2025.10.19 at 22.45.49.png](https://dl.playground.lazycat.cloud/guidelines/703/3dcf0f7c-4b6e-4724-a00e-90e28a167187.png "Shot 2025.10.19 at 22.45.49.png")
    - 有些漏洞是展示没有修复版本的，如果你不需要看到这部分漏洞，可以勾选后忽略。


### 三、场景模板管理
1. 展开“高级选项”中的配置管理区域。
   - ![LCMD 2025-10-19 22.48.04.png](https://dl.playground.lazycat.cloud/guidelines/703/5908ef7f-2185-492a-b4e9-ad8e159d6a67.png "LCMD 2025-10-19 22.48.04.png")
2. 选择或新建模板名称，将当前配置保存为模板。
3. 典型模板建议：
   - `registry-review`：懒猫商店审核时使用，严格策略关注 HIGH 及以上漏洞。
   - `self-hosted`：个人私有仓库镜像检查，可自定义安全等级。
   - `public-registry`：检查 Docker Hub、阿里云等公有仓库的第三方镜像，建议关注 CRITICAL 和 HIGH。
4. 后续扫描时，通过下拉列表快速切换模板，保持自己的检查流程一致。

### 四、执行扫描与分析结果
- 1. 点击“开始扫描”，系统会立即拉取镜像并运行 Trivy。
    - ![Shot 2025.10.19 at 22.49.17.png](https://dl.playground.lazycat.cloud/guidelines/703/14569a1d-9519-4fef-820c-73ee921b6d79.png "Shot 2025.10.19 at 22.49.17.png")
- 2. 在扫描过程中，可观察页面状态与进度提示，如需排查可打开实时日志。
- 3. 扫描完成后，历史记录区域会列出镜像名称、时间、状态与漏洞统计。
- 4. 点击“查看日志”了解细节，或选择“下载报告”获取离线文件，根据 CVE、风险等级、影响组件判断是否继续使用该镜像或采取替代方案。
    - ![Shot 2025.10.19 at 22.49.55.png](https://dl.playground.lazycat.cloud/guidelines/703/0d2ad8c4-2eb2-43c4-a02d-539edfba5c14.png "Shot 2025.10.19 at 22.49.55.png")

### 五、高级选项与调优
1. **调试模式**：勾选后显示更详细的执行日志，用于排错。
    - ![Shot 2025.10.19 at 22.50.24.png](https://dl.playground.lazycat.cloud/guidelines/703/4c0b44ca-b19a-4214-9391-8ed1e86f1afe.png "Shot 2025.10.19 at 22.50.24.png")
    - ![Shot 2025.10.19 at 22.50.45.png](https://dl.playground.lazycat.cloud/guidelines/703/f59c6b0f-f5b8-4651-8761-90849fe64999.png "Shot 2025.10.19 at 22.50.45.png")
3. **自定义漏洞数据库镜像**：在懒猫微服的应用配置中设置环境变量，指向自备的漏洞库镜像地址。
   - ![Shot 2025.10.19 at 22.51.45.png](https://dl.playground.lazycat.cloud/guidelines/703/ea6079ff-0db9-435a-8e04-51a9f93d681f.png "Shot 2025.10.19 at 22.51.45.png")
   - 示例环境变量配置：
     ```bash
     TRIVY_DB_REPOSITORY=ghcr.io/aquasecurity/trivy-db
     TRIVY_JAVA_DB_REPOSITORY=ghcr.io/aquasecurity/trivy-java-db
     ```
   - 如需使用国内镜像加速或私有镜像源，修改上述地址即可。
3. **输出控制**：切换输出格式或启用调试按钮，便于和自己的记录方式或脚本配合。


### 六、隐藏技巧：复用服务器漏洞库

https://appstore.lazycat.cloud/#/shop/detail/cloud.lazycat.app.forward

- 1. 确认懒猫微服的 Trivy 服务端口（默认 59902）对内网可访问。
    - ![Shot 2025.10.19 at 22.53.31.png](https://dl.playground.lazycat.cloud/guidelines/703/d0dec4b8-f1fd-41da-b1af-b68afe0fdd70.png "Shot 2025.10.19 at 22.53.31.png")
- 2. 在任意终端执行：
   ```
   trivy image --server http://懒猫微服IP:59902 镜像名
   ```

   - ![Shot 2025.10.19 at 22.54.51.png](https://dl.playground.lazycat.cloud/guidelines/703/ed2e9d6c-6659-4a55-a55a-a267344a52cd.png "Shot 2025.10.19 at 22.54.51.png")
- 3. CLI 会直接复用懒猫微服上的离线漏洞数据库，减少多台设备重复下载的带宽与存储消耗，同时保证扫描结果与 Web UI 保持一致。

### 七、常见问题与故障排查

#### 镜像拉取失败
- **现象**：扫描日志显示"unable to pull image"或连接超时。
- **排查步骤**：
  1. 检查镜像地址是否正确，确认包含完整的仓库路径（如 `registry.example.com/namespace/image:tag`）。
  2. 如需认证，确认用户名和密码无误，并检查是否启用了 TLS 证书校验。
  3. 验证懒猫微服的网络连通性，尝试在懒猫微服终端手动 `lzc-docker pull` 该镜像。
  4. 对于私有仓库，确认凭据具有拉取权限。

#### 扫描超时或进度卡住
- **现象**：扫描长时间无响应或停留在某个阶段。
- **排查步骤**：
  1. 大型镜像（如包含多个操作系统层）可能需要较长时间，建议耐心等待或查看实时日志。
  2. 检查懒猫微服的磁盘空间是否充足，Trivy 需要临时存储镜像层。
  3. 启用调试模式，查看详细日志定位卡住的具体步骤。
  4. 如持续失败，尝试重启 Trivy 服务或重新部署应用。

#### 凭据配置错误
- **典型表现**：提示"authentication failed"或"401 Unauthorized"。
- **解决方法**：
  1. 确认用户名和密码中没有特殊字符导致的转义问题。
  2. 检查凭据是否已过期或账号是否被锁定。
  3. 如使用 Token 认证，确认 Token 格式正确且权限足够。
  4. 对于 Docker Hub，确认是否需要使用个人访问令牌（PAT）而非密码。

#### 漏洞数据库更新失败
- **现象**：扫描时提示"database is outdated"或无法连接漏洞库。
- **解决方法**：
  1. 检查自定义的 `TRIVY_DB_REPOSITORY` 环境变量是否正确。
  2. 确认懒猫微服能访问漏洞库镜像地址（如 ghcr.io）。
  3. 如使用离线模式，等待 Trivy Web UI 应用更新以获取最新内置漏洞库。
  4. 临时解决：在应用配置中切换到国内镜像加速地址。

## How Much - 投入成本评估

### 时间成本
- 首次建立模板与流程约需 5～10 分钟。
- 复用模板后发起扫描，通常 1 分钟内即可完成配置。

### 资源成本
- 借助懒猫微服内置服务，无需额外服务器或授权费用。
- 内置漏洞库与 CLI 共享机制显著降低网络流量与磁盘占用。

### 维护成本
- 关注 Trivy Web UI 的应用更新，及时获取最新漏洞库；若使用自定义镜像源，也需偶尔同步版本。
- 不时检查保存的模板和凭据，确保账号仍然可用并符合自己的安全期待。

## 相关资源

- Trivy 官方文档：https://trivy.dev/latest/
- Trivy 安装指南：https://trivy.dev/latest/getting-started/

## 结语

通过懒猫微服内置的 Trivy Web UI，你可以在本地网络中高效完成镜像安全扫描：一键套用模板、快速出具报告、复用漏洞库保持一致性。只需几分钟的配置，就能在应用审核或个人部署前做出明智决策，为懒猫微服的日常使用增添一层可靠的安全保障。