Grype 支持扫描 OCI 镜像、目录与 SBOM，数据库定期更新，与 Syft 配合可生成 SPDX/CycloneDX。典型用法为 docker run --rm 挂载 Docker socket 或镜像 tar，在 CI 中 --fail-on high 阻断发布。非长期运行服务，无需 -d 守护。

快速启动

docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  docker.io/anchore/grype:latest \
  docker:nginx:latest

推荐实践

docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock:ro \
  -v grype_cache:/root/.cache/grype \
  docker.io/anchore/grype:v0.79.0 \
  docker:myapp:1.2.3 --fail-on high

核心参数说明

• -v /var/run/docker.sock:ro — 扫描本地 Docker 镜像
• -v grype_cache:... — 缓存漏洞 DB，加速 CI
• --fail-on high — 高危 CVE 时非零退出码
• --rm — 一次性扫描任务
• grype:v0.79.0 — 固定 scanner 与 DB 行为