Trivy

“上线前扫一遍安全”这件事，绝大多数中小团队都停留在口头。原因不复杂：商业 SAST 动辄按开发者人头收费，开源工具又分散在四五个仓库里，命令、配置格式、报告格式各不相同，光是把它们串起来就要耗掉一个人两周。于是安全扫描要么彻底不做，要么做成了 CI 里一个永远绿灯、没人看的步骤。 AI 编程助手的出现让这件事的门槛降了一大截——你可以用一句话让它写出 Semgrep 自定义规则、生成 Trivy 的 CI 配置、解释一条 CVE 到底影不影响你。但同样地，AI 在安全领域...