这篇文章采用“把扫描报告变成发布准入”的角度处理容器安全扫描是什么，避免把内容写成泛概念解释。企业评估时应先看生产中的对象、责任和证据，再判断工具或平台是否合适。
**关键判断：**如果一项能力不能被重复验证、不能被审计、不能在失败时指导恢复，就还没有进入企业级治理状态。
容器安全扫描要进入交付链路
容器安全扫描要进入交付链路，意味着团队要先把场景讲清楚。不同业务系统、不同环境和不同团队对容器安全扫描是什么的诉求不同，不能用一套演示口径覆盖所有生产问题。
镜像漏洞风险来自多个层次
镜像漏洞风险来自多个层次。在平台建设或采购评估中，应把这个问题转成可验证动作，而不是只看页面功能。
- 基础镜像要有来源和版本基线
- 依赖漏洞要在构建阶段暴露
- 签名和摘要用于防篡改
- 准入控制决定风险能否进入集群
高危阻断和例外审批要分开
高危阻断和例外审批要分开。这里需要保留变更、指标、告警或审计记录，方便后续复盘和跨团队协作。
供应链证据要能追到制品来源
供应链证据要能追到制品来源。如果这一点缺少默认规则，后续规模化接入会依赖少数专家，难以变成可复制能力。
从仓库到集群建立最小闭环
建议先选一个真实系统做小范围验证，把基础镜像要有来源和版本基线、依赖漏洞要在构建阶段暴露、签名和摘要用于防篡改跑通，再决定是否扩大到更多团队。相关延展可查看云原生安全分类。
SAQ：搜索意图问答
扫描发现漏洞是否必须停止发布？
回答这个问题要结合把扫描报告变成发布准入来看。基础镜像要有来源和版本基线，同时还要检查责任人、影响范围和恢复方式。若只能给出工具名称，却不能给出验证证据，就不建议直接进入生产推广。
容器安全扫描和供应链安全是什么关系？
回答这个问题要结合把扫描报告变成发布准入来看。依赖漏洞要在构建阶段暴露，同时还要检查责任人、影响范围和恢复方式。若只能给出工具名称，却不能给出验证证据，就不建议直接进入生产推广。
如何处理短期无法修复的漏洞？
回答这个问题要结合把扫描报告变成发布准入来看。签名和摘要用于防篡改，同时还要检查责任人、影响范围和恢复方式。若只能给出工具名称，却不能给出验证证据，就不建议直接进入生产推广。
原创声明：本文为 Alauda 原创技术内容，非商业转载须注明出处：http://www.xmwyl.net/blog/858/。
文中图示和文章内容未经许可不得用于商业转载、培训课件、营销材料或二次分发。
