Distroless能从源头消灭Shell漏洞，因其完全不包含/bin/sh、/bin/bash等任何shell解释器及apk、apt、curl等可滥用工具，攻击者即使获得执行权限也无入口点拼接命令或下载payload。
直接用 Distroless 镜像构建容器，能从源头消除 Shell 漏洞——因为它根本就没有 /bin/sh、/bin/bash，也没有任何可执行的 shell 解释器。
为什么Distroless能真正“消灭”Shell漏洞
传统镜像（如 ubuntu:22.04、node:20-alpine）默认自带完整 shell 环境。只要应用存在命令拼接、动态执行等逻辑缺陷，攻击者就可能注入并执行任意命令。而 Distroless 的设计原则是“只放运行必需的”，连 /bin 目录都不存在：
- 不包含
sh、bash、ash等任何 shell 解释器 - 不带
apt、apk、curl、wget、tar等可被滥用的工具 - 最小镜像（如
gcr.io/distroless/static-debian11）仅约 650 KB，只有 glibc 和你的二进制文件
关键不是换镜像，而是配合多阶段构建
单纯把 FROM node:20 改成 FROM gcr.io/distroless/nodejs22-debian12 不够，必须确保编译、依赖安装、调试工具全部隔离在构建阶段：
- Go 应用：设
CGO_ENABLED=0静态编译，产物直接 COPY 到distroless/static - Java 应用：用
gcr.io/distroless/java17-debian13，只 COPY 打包好的 JAR，ENTRYPOINT 启动 JVM - Node.js 应用：选对应版本镜像（如
nodejs22-debian12），COPY 构建输出目录（如dist/），CMD 用node index.js启动——该镜像中node是唯一可执行程序
必须同步落实的三项加固动作
Distroless 不是“一换就安全”，需配套操作才能闭环：
- 构建阶段显式创建非 root 用户：
RUN groupadd -g 1001 -f appgroup && useradd -r -u 1001 -g appgroup appuser，运行阶段用USER appuser - 禁用容器特权模式与
CAP_SYS_ADMIN等高危能力，防止绕过限制 - 验证最终镜像是否真无 shell：
docker run --rm -it your-image /bin/sh应返回 “No such file or directory”
替代方案：别再依赖 exec 或 shell 脚本做健康检查
传统做法常用 exec 探针调用 curl 或 sh -c 脚本，但在 Distroless 中不可行。应改用：
- HTTP 探针（
livenessProbe.httpGet）直连应用端口 - TCP 探针检测端口连通性
- 进程信号（如向主进程发
SIGUSR1）触发内置健康状态上报
