选对基础镜像是优化 Docker 镜像安全性的第一步，应优先使用官方精简镜像（如 python:3.12-slim、node:20-alpine），避免 latest 标签和第三方镜像，定期更新扫描，并可考虑 distroless 镜像以极致精简。
选对基础镜像是优化 Docker 镜像安全性的第一步，不是越“全”越好，而是越“精”越稳。
优先使用官方精简镜像
官方维护的 slim 或 alpine 变体通常比完整版更安全。比如：
• python:3.12-slim 比 python:3.12 少约 60% 的系统包
• node:20-alpine 体积常低于 150MB，而 node:20（Debian 版）常超 1GB
这些镜像默认不带 apt、curl、bash 等攻击链常用工具，天然缩小攻击面。
避免使用 latest 标签和未经验证的第三方镜像
latest 是浮动标签，可能隐含未审计的变更；非官方镜像往往缺乏漏洞响应机制。
建议做法：
• 明确指定语义化版本，如 nginx:1.25.4-alpine
• 通过 docker pull 后用 docker inspect 查看 RepoDigests，确认镜像哈希一致性
• 在 CI/CD 中启用 Docker Content Trust（DCT），强制校验签名：
export DOCKER_CONTENT_TRUST=1
定期更新并扫描基础镜像
再小的镜像也会暴露已知漏洞。关键动作包括：
• 将基础镜像更新纳入发布前检查流程，例如每周自动 docker pull python:3.12-slim 并重建测试镜像
• 使用 trivy image python:3.12-slim 或 docker scan 扫描 CVE
• 关注镜像仓库的更新日志（如 Docker Hub 官方 Python 镜像页），留意安全公告
考虑 distroless 镜像用于纯二进制服务
如果应用是编译型语言（Go/Rust）且无需 shell 调试，distroless 镜像是终极精简选择：
• 它只含运行时依赖（如 CA 证书、glibc），不含包管理器、shell、文档等任何额外组件
• 示例：gcr.io/distroless/static:nonroot 或 public.ecr.aws/distroless/python3:3.12
• 注意：无法进入容器执行 sh，调试需配合 docker exec --privileged 或提前注入调试工具
