重建流程
重建流程
docker pull base-image:tag # 获取含修复的新基础镜像
docker build -t app:2026-10-12 . # 重新构建
trivy image --severity HIGH,CRITICAL app:2026-10-12 # 重建后扫描
# 推送并滚动更新，保留旧标签用于回滚| 原则 | 构建产物不可变：修复等于出新镜像 |
|---|---|
| 引用方式 | 部署使用 digest 固定，避免 tag 漂移 |
| 清理策略 | 保留回滚所需的最近标签，其余按策略回收 |
『进容器手动 yum update』会破坏不可变性：重建与回滚都无从谈起。