执行摘要
本PR在Trivy安全扫描配置中添加skip-dirs参数，排除/usr/local/go和/opt/nvidia目录，以消除约500个由NVIDIA基础镜像中Go工具链产生的不可修复CVE误报。这是针对CI/CD流水线的低风险配置优化，旨在提高安全警报的信号质量，对系统运行时和用户无直接影响。
功能与动机
问题背景：NVIDIA CUDA开发基础镜像(nvidia/cuda:12.9.1-cudnn-devel-ubuntu24.04)自带了完整的Go 1.23.8工具链(/usr/local/go)和Nsight性能分析工具中的Go二进制文件(/opt/nvidia)。Trivy扫描器的gobinary检测器会针对这些二进制文件报告每个Go标准库CVE，产生数百个警报。
核心动机：如PR body所述，"这些警报无法修复，除非更换基础镜像"。这些误报干扰了安全扫描结果的有效性，使工程师难以识别真正需要关注的可操作安全问题。
实现拆解
仅修改一个文件，在两个Trivy扫描步骤中添加相同的配置参数：
| 文件路径 |
变更内容 |
作用 |
.github/workflows/trivy-scan-dev.yml |
在第36行和第54行的Trivy配置中添加 skip-dirs: 'usr/local/go,opt/nvidia' |
使扫描器跳过指定目录，不检查其中的文件漏洞 |
关键代码片段：
- name: Trivy vulnerability scanner
uses: aquasecurity/trivy-action@master
with:
scan-type: 'fs'
scan-ref: '.'
format: 'sarif'
output: 'trivy-results-${{ matrix.tag }}.sarif'
severity: 'CRITICAL,HIGH'
ignore-unfixed: true
skip-dirs: 'usr/local/go,opt/nvidia' # 新增配置
评论区精华
无review讨论，PR由作者直接合并。从PR body可提取以下关键信息：
"Trivy的gobinary扫描器标志这些二进制文件的每个Go标准库CVE，产生数百个无法修复的警报"
"测试计划：手动触发工作流验证警报数量显著下降；验证可操作的CVE（Python包、Rust依赖、系统包）仍被报告"
风险与影响
技术风险：
- 配置正确性风险：
skip-dirs参数路径是否正确匹配目标目录，需验证扫描结果确认排除效果
- 过度排除风险：如果未来在这些目录中添加了SGLang实际使用的组件，可能漏报真实漏洞
- 依赖耦合风险：解决方案依赖于特定NVIDIA镜像结构，若更换基础镜像需重新评估配置
影响分析：
- 对用户：无直接影响，不改变产品功能或性能
- 对系统：无运行时影响，仅改变CI扫描行为
- 对团队：显著减少安全扫描噪音（约500个误报），提高工程师处理安全警报的效率
- 影响程度：低，属于CI/CD流程优化
关联脉络
从近期历史PR看，本PR属于一系列CI/CD优化工作的一部分：
-
同类CI配置优化：
- PR#21896：基于运行时数据更新测试预估时间，优化测试分区
- PR#21882：添加CI维护模式合并禁令政策，规范团队流程
- PR#21890：为fork PR的/rerun-test命令添加权限检查
-
安全相关改进：
- PR#21890同样涉及安全考虑（权限控制）
- 本PR专注于安全扫描工具本身的配置优化
-
演进趋势：
- 团队持续投入CI/CD基础设施的精细化管理
- 从单纯添加测试覆盖转向优化测试效率和质量信号
- 关注开发者体验，减少不必要的干扰和噪音
本PR揭示了在复杂依赖链（特别是NVIDIA CUDA镜像）环境下，安全扫描工具需要针对性配置以避免误报，这是现代AI/ML基础设施中常见的技术债务管理实践。
参与讨论