| 检查 | command -v sudo / 镜像历史与包清单 |
|---|---|
| 影响 | 提权链更短、审计噪声更多 |
| 修复 | 构建期移除 sudo，改用固定非 root 用户运行 |
示例
示例
docker run --rm --entrypoint sh myapp:1.4 -c 'command -v sudo || echo no-sudo'
docker history --no-trunc myapp:1.4 | grep -i sudo | head -5Dockerfile 修复示例
Dockerfile 修复示例
RUN apt-get purge -y sudo && rm -rf /var/lib/apt/lists/*
USER 10001:10001多阶段构建的最终镜像只保留运行时依赖，这类工具在收尾阶段自然被剥离。