执行摘要

本PR在Trivy安全扫描配置中添加skip-dirs参数，排除/usr/local/go和/opt/nvidia目录，以消除约500个由NVIDIA基础镜像中Go工具链产生的不可修复CVE误报。这是针对CI/CD流水线的低风险配置优化，旨在提高安全警报的信号质量，对系统运行时和用户无直接影响。

功能与动机

问题背景：NVIDIA CUDA开发基础镜像(nvidia/cuda:12.9.1-cudnn-devel-ubuntu24.04)自带了完整的Go 1.23.8工具链(/usr/local/go)和Nsight性能分析工具中的Go二进制文件(/opt/nvidia)。Trivy扫描器的gobinary检测器会针对这些二进制文件报告每个Go标准库CVE，产生数百个警报。

核心动机：如PR body所述，"这些警报无法修复，除非更换基础镜像"。这些误报干扰了安全扫描结果的有效性，使工程师难以识别真正需要关注的可操作安全问题。

实现拆解

仅修改一个文件，在两个Trivy扫描步骤中添加相同的配置参数：

关键代码片段：

- name: Trivy vulnerability scanner
  uses: aquasecurity/trivy-action@master
  with:
    scan-type: 'fs'
    scan-ref: '.'
    format: 'sarif'
    output: 'trivy-results-${{ matrix.tag }}.sarif'
    severity: 'CRITICAL,HIGH'
    ignore-unfixed: true
    skip-dirs: 'usr/local/go,opt/nvidia' # 新增配置

评论区精华

无review讨论，PR由作者直接合并。从PR body可提取以下关键信息：

"Trivy的gobinary扫描器标志这些二进制文件的每个Go标准库CVE，产生数百个无法修复的警报"

"测试计划：手动触发工作流验证警报数量显著下降；验证可操作的CVE（Python包、Rust依赖、系统包）仍被报告"

风险与影响

技术风险：

1. 配置正确性风险：skip-dirs参数路径是否正确匹配目标目录，需验证扫描结果确认排除效果
2. 过度排除风险：如果未来在这些目录中添加了SGLang实际使用的组件，可能漏报真实漏洞
3. 依赖耦合风险：解决方案依赖于特定NVIDIA镜像结构，若更换基础镜像需重新评估配置

影响分析：

• 对用户：无直接影响，不改变产品功能或性能
• 对系统：无运行时影响，仅改变CI扫描行为
• 对团队：显著减少安全扫描噪音（约500个误报），提高工程师处理安全警报的效率
• 影响程度：低，属于CI/CD流程优化

关联脉络

从近期历史PR看，本PR属于一系列CI/CD优化工作的一部分：

1. 同类CI配置优化：

   • PR#21896：基于运行时数据更新测试预估时间，优化测试分区
   • PR#21882：添加CI维护模式合并禁令政策，规范团队流程
   • PR#21890：为fork PR的/rerun-test命令添加权限检查

2. 安全相关改进：

   • PR#21890同样涉及安全考虑（权限控制）
   • 本PR专注于安全扫描工具本身的配置优化

3. 演进趋势：

   • 团队持续投入CI/CD基础设施的精细化管理
   • 从单纯添加测试覆盖转向优化测试效率和质量信号
   • 关注开发者体验，减少不必要的干扰和噪音

本PR揭示了在复杂依赖链（特别是NVIDIA CUDA镜像）环境下，安全扫描工具需要针对性配置以避免误报，这是现代AI/ML基础设施中常见的技术债务管理实践。