暗无天日

=============>随便,谢谢

如何保证Dockerfile每次都能产生完全相同的镜像

摘录自 《Docker开发指南》 13.6.3 "可复制及可信任的Dockerfile"

FROM指令中使用标签或摘要以保证每次下载的镜像完全相同

若FROM指令不带标签,则Docker默认下载 latest 标签的镜像,而该镜像很容易随着时间的变化而变化。

一个好方法是明确指定镜像的标签,但即使是同一个标签也可能会出现一些小更新,若想要保证镜像完全一致,则需要指定下载镜像的摘要。

FROM redis@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxx...

使用包管理器安装软件时指定版本号

跟上一条类似,使用包管理器安装软件默认安装的是最新版的软件,但有可能随着时间的推移而发生改变。

apt-get install cowsay=3.03+dfsg1-6

但这会带来两个问题:

  1. 可能指定的版本号太旧了,包仓库中已经不支持了,这种情况下构建会是彼岸。
  2. 有些软件包以来于其他软件包,这种依赖关系可能仅仅是 >= 就行了,因此可能虽然指定的版本号,但其依赖的包依然可能发生改变。

验证任何从互联网上下载的软件和数据

若没有对下载数据进行验证的话,那么数据意外损坏或被恶意篡改将无法被发现。