| 来源 | 官方镜像、发行版镜像、distroless、内部基线镜像 |
|---|---|
| 固定 | node:20.11.1-slim 比 node:latest 可复现；更严可固定 digest |
| 更新 | 用机器人订阅基础镜像更新，重跑构建与扫描 |
固定版本示例
固定版本示例
FROM node:20.11.1-bookworm-slim
# 需要完全可复现时：
# FROM node@sha256:<digest>内部基线镜像统一加固（时区、证书、非 root 用户），上层项目继承减少重复配置。
基础镜像选择与维护
选官方或可信镜像、固定到具体版本（或 digest），建立定期更新通道：基础镜像的漏洞会传导到所有上层镜像。
易错点
- 上游 tag 被重推（机构维护不同）：重要系统固定 digest 或定期核对
- 基础镜像多年不升：已知漏洞长期存在，建立季度更新节奏
数据来源与参考
- Docker Docs《Docker Official Images》