cursor

集成Trivy的MCP服务器，提供项目漏洞扫描与自动修复接口。

安装使用

复制下面这段提示词发给你的 AI（Claude / Cursor / TRAE / Codex / WorkBuddy 等），它会自动帮你完成安装：

帮我安装这个 AI Skill：cursor。
它的用途是：集成Trivy的MCP服务器，提供项目漏洞扫描与自动修复接口。
详细介绍见：https://321skill.com/skills/cursor-cursor-mcp-trivy/
请根据该页面的说明完成安装。

“请扫描当前项目的`package.json`文件，检查依赖是否存在已知安全漏洞。” 它会调用此Skill运行Trivy扫描，并返回一份包含漏洞级别、描述和修复建议的详细报告。你还可以进一步要求：“针对那个高危漏洞，生成一个升级依赖版本的PR代码变更。”

这个Skill解决了开发者在项目中手动进行安全漏洞扫描和修复流程繁琐、标准不一的问题。它通过集成成熟的Trivy安全扫描工具，将漏洞检测能力标准化为MCP接口，让开发者能在AI助手（如Claude）的工作流中直接调用。

使用时，开发者只需在支持MCP的AI工具中配置好此服务器，即可通过自然语言指令对指定项目目录或容器镜像进行安全扫描。AI助手会调用该Skill，获取详细的漏洞报告，并可根据建议提供修复方案或自动生成修复代码。

它非常适合后端开发、运维工程师和全栈开发等需要持续关注代码与依赖安全的角色。在开发新功能、代码审查或项目上线前，他们可以利用此Skill快速进行安全检查。

建议将此Skill集成到CI/CD流程或日常开发检查点中，作为代码质量门禁的一部分。需要注意的是，扫描结果的准确性依赖于Trivy的漏洞数据库，对于私有或内部依赖的扫描可能需要额外配置。

与同类安全扫描Skill相比，它深度集成了功能全面且活跃的Trivy工具，不仅能扫描代码依赖漏洞，还能覆盖容器镜像、基础设施即代码（IaC）配置等；同时，它通过MCP标准协议提供接口，使得修复建议和自动化操作能更无缝地融入AI辅助的开发工作流。

对于高度定制化或内部私有组件的漏洞识别能力有限，且自动修复可能不适用于所有复杂的业务逻辑场景。

这个Skill能扫描哪些类型的漏洞？

支持扫描代码依赖（如npm, pip包）、容器镜像、基础设施即代码（如Terraform, Dockerfile）等多种类型的漏洞。

需要本地安装Trivy吗？

是的，此Skill作为MCP服务器，需要本地已安装并配置好Trivy命令行工具才能正常工作。