若FROM指令不带标签，则Docker默认下载 latest 标签的镜像，而该镜像很容易随着时间的变化而变化。

一个好方法是明确指定镜像的标签，但即使是同一个标签也可能会出现一些小更新，若想要保证镜像完全一致，则需要指定下载镜像的摘要。

FROM redis@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxx...

跟上一条类似，使用包管理器安装软件默认安装的是最新版的软件，但有可能随着时间的推移而发生改变。

apt-get install cowsay=3.03+dfsg1-6

但这会带来两个问题:

1. 可能指定的版本号太旧了，包仓库中已经不支持了，这种情况下构建会是彼岸。
2. 有些软件包以来于其他软件包，这种依赖关系可能仅仅是 >= 就行了，因此可能虽然指定的版本号，但其依赖的包依然可能发生改变。

若没有对下载数据进行验证的话，那么数据意外损坏或被恶意篡改将无法被发现。