Checkov 速查
共 25 条 Checkov 常用命令，涵盖基础、常用参数、基线与忽略、自定义策略、集成实践。 支持搜索与分类筛选，点击即可复制。
基础
扫基础设施即代码的错误配置。
| 命令 | 说明 |
|---|---|
| 安装 | |
| 扫描目录 | |
| 扫描单文件 | |
| 限定框架 | |
| 框架覆盖 |
常用参数
范围与输出。
| 命令 | 说明 |
|---|---|
| 指定检查 | |
| 跳过 | |
| 输出格式 | |
| 软失败 | |
| 安静模式 |
基线与忽略
降噪。
| 命令 | 说明 |
|---|---|
| 建基线 | |
| 应用基线 | |
| 行内忽略 | |
| 配置文件 | |
| 紧凑输出 |
自定义策略
写自己的检查。
| 命令 | 说明 |
|---|---|
| Python 策略 | |
| YAML 策略 | |
| 加载自定义策略 | |
| 跨框架 | |
| 远程模块 |
集成实践
左移。
| 命令 | 说明 |
|---|---|
| GitHub CI | |
| PR 门禁 | |
| 结合 plan | |
| 分工 | |
| 聚焦 |
使用说明
Checkov 常用命令速查：基础、常用参数、基线与忽略、自定义策略、集成实践；支持搜索与分类筛选，点击即可复制。
- 按用途点分类：基础、常用参数、基线与忽略、自定义策略、集成实践。
- 点「命令」列复制，替换目录与检查 id 后执行。
- 扫 IaC 目录用 checkov -d .，按框架用 --framework 限定。
- 老项目先建 baseline 忽略存量，只拦新增问题。
常见问题
- Checkov 和 Trivy 有何不同？
- Checkov 专注 IaC 配置错误（Terraform/K8s/CloudFormation…）；Trivy 覆盖漏洞、配置、密钥与 SBOM。两者在配置检查上可互补或择一。
- baseline 是什么？
- 把当前存在的问题固化成基线文件，之后扫描只报告相对基线的新问题，便于在存量项目里逐步收敛而不被历史债务淹没。
- 能写自己的策略吗？
- 能，用 Python（继承 BaseCheck）或 YAML（简单表达式）定义自定义检查，经 --external-checks-dir 加载，实现团队专属合规规则。