Trivy 扫描 MinimOS：容器安全实践中对 MinimOS 的 SBOM、漏洞与许可证支持指南

MinimOS 是一款采用 apk 包管理生态的轻量级操作系统，Trivy 对 MinimOS 提供了开箱即用的支持。本文基于仓库中 MinimOS 支持文档 与相关源码，系统梳理 Trivy 在 MinimOS 目标上支持的扫描器能力、特性边界，并结合检测器的实现细节说明漏洞判定的底层原理。读完本文，你将掌握 MinimOS 镜像与文件系统的 SBOM 生成、漏洞与许可证扫描方法，以及 Trivy 对 MinimOS“仅报已修复漏洞、不报未修复漏洞、不做 EOL 感知”的行为逻辑。

MinimOS 支持总览：扫描器与特性矩阵

Trivy 将 MinimOS 作为一类可识别的操作系统目标。从源码看，pkg/fanal/types/const.go 中定义了 MinimOS OSType = "minimos"，并纳入 OSTypes 全局列表，因此其包管理器安装的 OS 包会被识别为拥有 OS 级软件包（HasOSPackages() 返回 true）。

针对 MinimOS 的 OS 包，Trivy 支持以下三类扫描器：

Scanner	Supported
SBOM	✓
Vulnerability	✓
License	✓

下表汇总了 Trivy 为 MinimOS 提供的具体特性：

Feature	Supported
Detect unfixed vulnerabilities	-
Dependency graph	✓
End of life awareness	-

其中「-」表示当前不支持：Trivy 不会为 MinimOS 报告未修复（unfixed）漏洞，也不提供系统版本 EOL 生命周期提醒；但支持通过 --dependency-tree 展示漏洞依赖来源图（详见 reporting.md 的 Show origins of vulnerable dependencies 一节）。

OS 识别：Trivy 如何认出 MinimOS

在进行镜像、VM 或文件系统扫描时，Trivy 首先通过分析目标内的发行版标识文件来确定 OS 家族。OS 版本分析器 pkg/fanal/analyzer/os/release/release.go 中专门处理 minimos 这一标识；其测试夹具 pkg/fanal/analyzer/os/release/testdata/minimos 展示了典型内容：

ID=minimos
NAME="MinimOS"
PRETTY_NAME="MinimOS"
VERSION_ID="20241031"
HOME_URL="https://minimus.io"
BUG_REPORT_URL="https://support.minimus.io"

值得注意：与 Debian、Ubuntu 这类带版本号且仅支持部分版本的发行版不同，MinimOS 不以数字语义版本划分发行版本。这一点在漏洞检测器中也有直接体现——minimos.go 的 IsSupportedVersion 恒返回 true，注释明确说明 “MinimOS doesn't have versions”，即不会出现“版本不受支持”的分支。因此对任何 MinimOS 目标，Trivy 都会直接进入扫描流程，无需像其他系统那样先做版本白名单判断。

SBOM：与 Alpine Linux 一致的软件包采集方式

文档明确指出，MinimOS 的 SBOM 支持 与 Alpine Linux 完全相同——即通过 apk 包管理器采集已安装的软件包。

在实现层面，apk 包分析器 pkg/fanal/analyzer/pkg/apk/apk.go 读取容器内的 lib/apk/db/installed 与 usr/lib/apk/db/installed 两个数据库文件，解析出每个已安装包的名称、版本、源代码包（SrcName）等字段；MinimOS 沿用 apk 生态，因此同一分析器无需任何差异化逻辑即可工作。这意味着无论是生成 CycloneDX/SPDX 格式的 SBOM，还是构建依赖图谱，MinimOS 都具备与 Alpine 一致的数据基础。

Vulnerability：基于 MinimOS 官方安全通告的漏洞检测

数据来源

漏洞检测是 MinimOS 支持中的核心能力。与使用公共 CVE 库“一刀切”不同，MinimOS 提供自己的安全通告（security advisories），Trivy 只消费这些官方通告来对 MinimOS 目标做匹配。该通告源被记作 MinimOS Secdb，具体地址为 https://packages.mini.dev/advisories/secdb/security.json。

所有 OS 包漏洞数据源的完整清单可参考 scanner/vulnerability.md 的 Data Sources 小节。该文档还解释了为何“只信任厂商通告”：厂商通常会把上游补丁 backport 到自己的包版本中，固定版本号与上游不同，用第三方库比对会产生大量误报。

检测器实现：逐包比对修复版本

MinimOS 的漏洞扫描器位于 pkg/detector/ospkg/minimos/minimos.go，其核心检测逻辑可以拆解为几步：

1. 以 pkg.SrcName（源代码包名）作为通告查询键；若为空则回退使用 pkg.Name（见第 36-39 行）。这一点从测试用例 “No src name” 也能看到：当 jq 包缺少 SrcName 时依然能命中 CVE-2020-1234。
2. 调用 vulnsrc/minimos 提供的 Get() 取出该包的全部通告。
3. 使用 github.com/knqyf263/go-apk-version 解析已安装版本与每个通告中的 FixedVersion，进行版本比较。

其中最关键的是漏洞命中判定 isVulnerable（第 75-86 行）：

// Compare versions for fixed vulnerabilities
fixedVersion, err := version.NewVersion(adv.FixedVersion)
if err != nil {
    log.DebugContext(ctx, "Failed to parse the fixed version",
        log.String("version", adv.FixedVersion), log.Err(err))
    return false
}

// It means the fixed vulnerability
return installedVersion.LessThan(fixedVersion)

即：仅当已安装版本严格小于通告中的修复版本时，才判定为存在漏洞。这带来一个重要的行为推论——凡是修复版本为空（尚无补丁）或解析失败的通告都不会命中，正好解释了支持矩阵中 “Detect unfixed vulnerabilities” 为「-」的原因：Trivy 不为 MinimOS 报告未修复漏洞。若需要隐藏已存在但未修复的漏洞，可结合官方文档 --ignore-unfixed 的通用约定进一步收紧结果（详见 filtering.md 按状态过滤）。

命中后返回的 DetectedVulnerability 会携带 VulnerabilityID、InstalledVersion、FixedVersion、DataSource 等字段，保证 JSON 报告可直接溯源到 MinimOS Secdb。

测试验证与 apk 版本语义

单元测试 pkg/detector/ospkg/minimos/minimos_test.go 结合通告夹具 testdata/fixtures/minimos.yaml 覆盖了多条关键路径，可作为理解行为的对照：

• 常规命中（happy path）：ansible 2.6.4 命中 CVE-2019-10217，修复版本为 2.8.4-r0。
• 版本解析容错：版本为 invalid 的包在解析失败后被跳过（continue），不会导致整次扫描失败，也不产生误报。
• 通告读取失败：夹具 invalid.yaml 下 Detect 返回 failed to get MinimOS advisories 错误。
• rc/pre 前缀语义：夹具中包含 1.6_rc1-r0、1.6_rc2、0.1.0_alpha_pre2、0.1.0_alpha2 等版本，测试用例 “contain rc”“contain pre” 分别验证了 go-apk-version 对 Alpine/APK 风格预发布版本号的排序规则。例如安装版本 1.6-r0 会命中修复版本 1.6-r1 的通告，而 0.1.0_alpha 会被正确判定为早于 0.1.0_alpha2。

与 Alpine 的其余差异

除数据源外，MinimOS 的漏洞扫描“其余一切与 Alpine 相同”。具体来说：Trivy 仍只对 OS 包管理器安装的包使用 OS 厂商通告，来自第三方源安装的包不参与 MinimOS 官方通告匹配，以避免误报；对 MinimOS 而言也不支持 EOL 感知，因为它没有版本化发行序列，也就没有 EOL 时间线可供比对。

License：读取 APK 包元数据识别许可证

许可证扫描的逻辑与 Alpine 相同——Trivy 通过 APK 包的元数据（metadata） 来识别每个已安装包所携带的许可证信息，因此扫描器统一复用 apk 包分析器解析出的数据，MinimOS 无需额外适配。生成的报告中会包含 licenses 字段，可在 JSON/SBOM/表格各输出格式中查看。

实操：对 MinimOS 目标执行扫描

以下命令适用于任何 MinimOS 容器镜像或文件系统目录（前提是本地已完成 Trivy 安装与漏洞数据库的自动拉取）：

# 扫描 MinimOS 容器镜像，同时产出 OS 包漏洞（SBOM/许可证分析默认随镜像扫描开启）
trivy image minimos-image:latest

# 仅输出 JSON 以便程序化消费漏洞结果与数据源信息
trivy image --format json --output result.json minimos-image:latest

# 扫描文件系统/目录中的 MinimOS 根文件系统
trivy fs --scanners vuln,license /path/to/minimos-rootfs

# 若需在报告中查看漏洞的依赖来源图（依赖图反向树）
trivy image --dependency-tree minimos-image:latest

扫描日志中会出现 Detecting MinimOS vulnerabilities...（对应 minimos.go 中的日志前缀）以及目标 OS 识别信息，可作为确认已走 MinimOS 检测路径的直观依据。如果漏洞通告库尚未包含最新的 MinimOS Secdb 数据，先执行 trivy db update 即可（数据库机制详见 db 配置文档）。

小结

在 Trivy 的 OS 包覆盖矩阵中，MinimOS 是一类“接入成本低、行为边界清晰”的系统：

• SBOM / License：完全复用 apk 生态，开箱即用；
• Vulnerability：只信任 MinimOS 官方 Secdb 通告，仅报告“有修复版本”的漏洞，版本比较严格遵循 APK 风格版本语义，避免未修复项与解析异常带来的噪声；
• 不支持项：unfixed 漏洞与 EOL 感知均不在支持范围内，选用前应结合自身安全策略评估。

如果想进一步了解 Trivy 对 MinimOS 之外其他系统的支持边界，可查阅 coverage/os 目录下的系统支持文档 与 漏洞扫描数据源总览。