distroless 运行镜像

只包含应用与其运行时依赖、没有包管理器与 shell 的镜像（Google 维护）；减少工具面降低风险，也压缩体积。

特点	无 shell、无包管理器、无常用命令
变体	static / base / cc / java / python 等，另有 :debug 变体
来源	gcr.io/distroless/*（Google Artifact Registry）

示例

FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=build /out/app /app
ENTRYPOINT ["/app"]

没有 shell 意味着 exec 进去排查受限；需要现场排查时切换 :debug 变体镜像或用编排平台的调试副本。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌