Dockerfile通过多阶段构建将静态资产扫描嵌入CI流程：builder阶段生成dist/和lock文件，scanner阶段用Trivy或Checkov扫描漏洞与配置风险，失败则阻断发布。
用 Dockerfile 整合构建后静态资产的扫描，核心是把“构建”和“扫描”两个阶段串进同一个自动化流程，不是事后补扫，而是让扫描成为构建产物交付前的必经关卡。
构建与扫描分阶段协同
静态资产（如 React/Vue 打包后的 dist/ 目录）本身不含可执行逻辑，但可能引入带漏洞的第三方 JS 库（如有 CVE 的 lodash、axios 版本），或暴露敏感文件（.env.local、package-lock.json）。Dockerfile 可以在多阶段构建中插入扫描环节：
- 第一阶段（builder）：完成前端构建（
npm run build），产出dist/ - 第二阶段（scanner）：基于 Alpine 或 distroless 镜像，安装扫描工具（如
trivy或checkov），复制dist/和相关清单（package-lock.json、pnpm-lock.yaml），执行扫描 - 第三阶段（runner，可选）：仅当扫描通过后，才进入 Nginx 服务镜像构建；否则构建失败，阻断发布
嵌入 Trivy 扫描静态依赖
Trivy 支持直接扫描文件系统中的 JavaScript 依赖树。你不需要运行服务，只需让它读取 package-lock.json 或 node_modules/ 结构：
- 在 builder 阶段保留
package-lock.json和dist/，并确保它被 COPY 到 scanner 阶段 - scanner 阶段使用官方 Trivy 镜像或轻量 Alpine + curl 安装：
FROM aquasec/trivy:0.45.0 AS scanner WORKDIR /scan COPY --from=builder /app/package-lock.json . # 扫描 JS 依赖漏洞（不启动服务） RUN trivy fs --security-checks vuln --ignore-unfixed .
- 添加
--exit-code 1参数使存在高危漏洞时构建失败，CI 流程自动中断
用 Checkov 扫描静态配置与合规风险
Checkov 能识别静态资产中的硬编码密钥、不安全 HTTP 重定向、缺失 CSP 头等 HTML/JS 配置问题：
- COPY 构建产物（
dist/）到 Checkov 镜像中 - 运行命令检查常见风险模式：
RUN checkov -d /scan/dist --framework javascript,html --quiet --compact
- 配合自定义策略（如禁止
eval()、强制 HTTPS 资源链接），可导出为.yaml策略文件挂载进容器 - 推荐在 CI 中启用
--soft-fail模式初期预警，成熟后切为严格失败
与 CI 流程联动实现门禁控制
Dockerfile 本身不触发扫描，但它是 CI 中 docker build 命令的操作依据。关键在于让 CI 正确调用含 scanner 阶段的构建：
- GitHub Actions 示例中，指定构建目标为
--target scanner：run: docker build --target scanner -t my-static-scan .
- 避免在最终镜像中打包扫描器——scanner 阶段应独立存在，不参与
CMD或服务运行 - 扫描结果可输出为 SARIF 格式，集成进 GitHub Code Scanning，自动标记 PR 中的问题行
