harbor中用户需显式授予scanner角色（非仅developer）才能触发扫描和查看报告；项目级auto scan开关须开启才自动扫描新镜像；trivy扫描器需正确注册且镜像内保留requirements.txt等依赖文件。
Harbor 里给用户配扫描权限，光加 developer 角色不够
Harbor 的 RBAC 模型里，developer 角色默认能推送镜像、拉取镜像，但**不能触发扫描**，也不能查看扫描报告。扫描相关操作被单独收在 scanner 权限组下，需要显式授予。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 进 Harbor UI → 项目 → 成员 → 添加成员 → 选择角色时，不要只选
developer，要额外勾选Scanner（Harbor v2.8+）或Scan（旧版） - 若用 API 批量赋权，注意
role_id值：v2.8+ 中Scanner对应6，不是3（developer是3） - 如果用户已存在，需先删掉原成员条目再重新添加带
Scanner角色的配置——Harbor 不支持对已有成员“追加角色”
启用 Trivy 扫描器后，新推的镜像不自动扫描？检查 auto_scan 配置项
Harbor 默认不会自动扫描所有新推送镜像，即使你已部署并注册了 Trivy 扫描器。是否自动扫描由项目级开关控制，和全局扫描器状态无关。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 进 Harbor UI → 项目 → 配置 → 找到
Auto Scan开关，确保它处于开启状态（蓝色） - 该配置只影响后续新推的镜像；已存在的未扫描镜像不会被回扫，需手动点
Rescan - 命令行推送时，
docker push不会返回扫描结果，得等几秒后查/api/v2.0/projects/{proj}/repositories/{repo}/artifacts/{digest}/additions/vulnerabilities接口
扫描结果为空或显示 scan failed: no scanner registered
这个错误不是镜像问题，而是 Harbor 根本没连上扫描器。常见于部署 Trivy 后忘记在 Harbor 管理后台注册，或注册时填错了 endpoint 地址。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 登录 Harbor 管理员账号 → 系统管理 → 配置 → 扫描器 → 点
Add Scanner→ 类型选Trivy，Endpoint填 Trivy Adapter 的服务地址（如http://harbor-scanner-trivy:8080），不是 Trivy 二进制本身 - 确认 Trivy Adapter 容器健康：
curl http://harbor-scanner-trivy:8080/health应返回{"status":"ok"} - Harbor 日志里搜
failed to get scanner registration，能快速定位是认证失败还是网络不通
Python 镜像扫描漏报高危漏洞？别全信 Trivy 默认策略
Trivy 对 Python 的扫描依赖 requirements.txt 或 Pipfile.lock，如果镜像里没留这些文件（比如用了多阶段构建且 final 镜像只含 .pyc），Trivy 就扫不到依赖树，自然漏报。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 构建镜像时，确保
requirements.txt或锁文件保留在最终镜像的可读路径下（如/app/requirements.txt） - 在 Harbor 扫描器配置里，给 Trivy 加参数：
--skip-dirs /tmp,/var避免误扫系统路径；--python-version 3.11显式指定解释器版本，防止版本识别偏差 - Trivy v0.45+ 支持
--scanners vuln,config,secret，但 Python 漏洞扫描只走vuln，加多余扫描器反而拖慢速度
RBAC 和扫描集成真正卡住人的地方，往往不是配置多复杂，而是权限、开关、路径三者没对齐——比如开了 auto_scan，但用户没 Scanner 角色；或者 Trivy Adapter 注册了，但镜像里根本没 requirements.txt。这些点错一个，整个链路就静默失效。
