| 固定级别 | 主版本 → 小版本 → patch tag → digest 摘要 |
|---|---|
| 可复现性 | digest 最强但需要主动更新机制 |
| 更新流程 | 定期巡检 + 回归测试后改 Dockerfile |
示例
示例
FROM node:20.18.0-alpine3.20
# 或按摘要固定
FROM node@sha256:abcdef...0123456789无论固定到哪一级，都建议定期对齐安全更新：固定 digest 的镜像不会自动收到上游修复。
基础镜像版本固定策略
把基础镜像固定到具体 patch 或摘要：node:20.18.0-alpine3.20 这类写法保证可复现，升级成为显式动作。
易错点
- latest 与浮动小版本在不同时间构建结果可能不同，问题只在别的机器复现
- 锁了 digest 却没人负责升级，会长期停留在旧版本累积漏洞，给更新留出例行流程
数据来源与参考
- Docker 官方文档：Best practices / image digests（docs.docker.com）