研发云制品仓库里的研发云制安全漏洞扫描，说白了就三种模式：定时全量扫描、品仓触发式增量扫描、库安以及上线前强制门禁扫描。全漏这三种模式不是洞扫并列关系，而是种模层层递进，把漏洞拦截在离代码最近的研发云制地方。

定时全量扫描是品仓最笨也最可靠的办法。每天凌晨两点，库安仓库里所有制品——不管是全漏刚推上去的镜像，还是洞扫三个月前没人碰的旧包——全都被翻出来，对着CVE数据库逐一比对。种模我见过不少团队把这个时间设在业务低峰期，研发云制但真正的品仓问题在于：全量扫描一次动辄几小时，等结果出来，库安漏洞可能已经在生产环境躺了一整天。有个客户跟我抱怨，他们每周日晚上扫一次，结果周三推的新镜像里藏了个Log4j漏洞，硬是等到下周一才被发现。这种模式适合“补旧账”，但别指望它救急。

触发式增量扫描就聪明多了。只要有人往仓库里push一个新制品，扫描器立刻被唤醒，只针对这个新对象做检查。GitHub Actions里挂个webhook，或者用Jenkins的插件，几秒钟就能拿到结果。我见过一个做得好的团队，他们把扫描结果直接回写到制品元数据里，谁下载这个包，IDE里就能看到“高危漏洞”的红色警告。这种模式的最大价值是快，但有个坑：如果扫描器本身没更新漏洞库，新出的0day照样漏掉。所以别省着，定时任务里得加一条“每天更新漏洞库”的步骤。

上线前强制门禁扫描，这招最狠，也最招人恨。它把扫描嵌进CI/CD流水线的最后一道闸门，扫描不通过，制品根本不允许部署到生产环境。我见过一个金融客户，他们用Harbor的“不可变标签”功能，凡是带漏洞的镜像一律打上“blocked”标记，Kubernetes拉取时直接拒绝。开发人员一开始骂娘，觉得流程变慢了，但三个月后生产环境故障率降了40%。这种模式本质上是把安全责任从“事后追责”变成“事前拦截”，代价是每次上线前得多等两分钟——但这两分钟换来的可能是省掉一次凌晨三点的大规模回滚。

三种模式各有脾气。定时扫描像体检，查的是老毛病；触发式扫描像急诊，管的是新伤口；门禁扫描像安检，拦的是危险品。成熟的团队通常把三者组合起来用：定时扫描兜底，触发式扫描抓即时，门禁扫描做最后的守门员。别问哪种最好——你要是只跑一次性的测试环境，触发式就够；你要是管着几百个微服务的生产仓库，三种一个都不能少。说到底，扫描模式只是工具，真正决定安全的是你愿意在哪个环节多花那几秒钟。