usr42/clair-local-scan

镜像概述

usr42/clair-local-scan是arminc/clair-local-scan的分支镜像，基于CoreOS Clair（版本2.0.6）构建。旨在快速修复容器漏洞（CVEs）并向 upstream 提交PR，同时解决Clair在CI/CD pipeline中独立运行时的痛点：初始数据库填充耗时（20-30分钟）及容器层远程访问需求。通过每日Travis任务生成更新的数据库镜像，支持用户直接使用最新漏洞数据。

核心功能

1. 基于CoreOS Clair的容器漏洞扫描能力
2. 快速修复CVEs并向 upstream 贡献PR
3. 提供每日更新的数据库镜像（arminc/clair-db），避免初始DB填充耗时
4. 支持在CI/CD pipeline中独立运行，无需依赖远程Clair服务

使用场景

适用于CI/CD流程中的容器镜像安全扫描环节，帮助开发团队在构建阶段检测容器镜像中的已知漏洞，提升容器化应用的安全性。

配置说明

启动Clair服务及数据库

首先启动数据库镜像，再启动Clair服务：

bash
docker run -d --name db arminc/clair-db:2017-03-15
docker run -p 6060:6060 --link db:postgres -d --name clair usr42/clair-local-scan:v2.0.7

注意：可通过更换数据库镜像的标签（如将2017-03-15改为当日日期）获取最新漏洞数据。

容器扫描方式

使用analyze-local-images扫描

bash
analyze-local-images -endpoint http://IP:6060 -my-address IP arminc/clair-db:2017-03-15

使用clair-scanner扫描（支持漏洞白名单）

bash
clair-scanner nginx:1.11.6-alpine example-nginx.yaml http://YOUR_LOCAL_IP:6060 YOUR_LOCAL_IP

注：clair-scanner是作者修改的版本，可验证漏洞是否在白名单内，详情见https://github.com/arminc/clair-scanner%E3%80%82