Hadolint是专为Dockerfile设计的静态分析工具，通过AST解析和ShellCheck集成，自动检查语法错误、安全漏洞（如未指定USER、使用latest标签）及最佳实践问题，并支持在Bitbucket、GitLab、CircleCI等CI流程中固化为构建前必检关卡。
直接在 Dockerfile 中做合规审查不现实，真正可行的做法是把 Dockerfile 本身作为被审查对象，并用专用工具+CI 流程完成自动化合规检查。核心思路是：Dockerfile 是声明式配置，不是运行时环境，审查必须发生在构建前或构建流水线中。
用 Hadolint 检查 Dockerfile 语法与最佳实践
Hadolint 是最成熟、轻量、可嵌入 CI 的 Dockerfile Linter，它基于 ShellCheck 引擎分析 RUN 指令，同时校验指令顺序、基础镜像选择、权限设置等 50+ 条规则。
- 本地快速验证：运行
hadolint Dockerfile，会标出如DL3006（使用 apt-get install 未加 --no-cache）、DL4006（未指定 USER）等风险项 - 推荐启用关键规则：强制要求非 root 用户（
USER）、禁止:latest标签（FROM）、限制RUN指令合并（避免缓存失效和层数膨胀） - 自定义忽略需谨慎：仅对已知误报（如内部私有镜像签名机制暂不支持）用
--ignore DL3008，不可全局禁用安全类规则
在 CI 流程中固化审查动作
合规审查不能依赖人工触发，必须成为每次 PR 或 push 的必过关卡。
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- Bitbucket Pipelines 示例：在
bitbucket-pipelines.yml中定义 step，使用官方hadolint/hadolint:latest-debian镜像执行检查，失败即中断 pipeline - GitLab CI 示例：在
.gitlab-ci.yml中添加 job，调用hadolint --config .hadolint.yaml Dockerfile，配合 merge request approval 规则，确保无高危问题才能合入 - CircleCI Orb 方式：通过
docker/hadolintOrb 直接声明dockerfiles: 'Dockerfile'，支持多文件、多规则开关和可信 registry 白名单
联动镜像层与运行时合规验证
Dockerfile 合规只是起点，需向下延伸至构建产物和运行约束。
- 构建阶段嵌入 SBOM 生成：在 Dockerfile 的最后 RUN 步骤中加入
syft -o cyclonedx-json . > /app/sbom.cdx.json，确保每镜像自带软件成分清单 - 扫描阶段绑定 Trivy：CI 中用
trivy image --security-checks vuln,config --format json my-app:dev检查基础镜像漏洞 + 配置风险（如是否暴露敏感端口、是否启用 healthcheck） - 运行时加固显式声明：Dockerfile 中写死安全选项，例如
STOPSIGNAL SIGTERM、HEALTHCHECK --interval=30s CMD curl -f http://localhost:8080/health || exit 1、USER 1001
策略即代码：把合规要求编译进构建逻辑
避免“检查-修复”反复循环，把合规规则变成构建的准入门槛。
- 基础镜像白名单：CI 脚本中校验
FROM行是否匹配正则^FROM (registry\.access\.redhat\.com/ubi.*|debian:slim|alpine:[0-9]+\.[0-9]+)$ - 禁止危险指令：用
grep -q "RUN.*apt-get install.*-y" Dockerfile检测裸装包行为，强制改用apk add --no-cache或多阶段构建分离构建与运行环境 - 自动注入审计元数据：构建时通过
--build-arg BUILD_DATE=$(date -u +%Y-%m-%dT%H:%M:%SZ)和label org.opencontainers.image.created="${BUILD_DATE}"记录可信时间戳
