buildkit是构建带安全基线镜像的首选，原生支持attestations、sbom和provenance，需正确设置buildkitd_flags和docker_buildkit=1，推荐用buildctl控制构建与输出；基础镜像须满足漏洞清零、非root用户、无包管理器三条件，优先选用chainguard或aws distroless镜像；ci中应通过cache-from与source-policy在构建阶段拦截高危指令；推送前须用cosign、oras验证签名、sbom及config.history完整性，并启用buildkit_inline_cache=1确保确定性构建。
如何用 BuildKit 构建带安全基线的镜像
BuildKit 是目前最稳妥的选择，它原生支持 attestations、sbom 和 provenance，还能跳过非必要层缓存污染。不用它的话，后续加签名、生成 SBOM 都得靠外部工具硬凑，容易漏步骤。
启用方式很简单，但很多人卡在环境变量没设对：
- 必须设置
BUILDKITD_FLAGS=--oci-worker-no-process-sandbox（某些内核版本下不加会报failed to create shim: OCI runtime create failed） - 构建命令前加
DOCKER_BUILDKIT=1，不是1或空字符串都不行 -
buildctl直接调用更可控，比如生成 SBOM 时能指定输出路径：buildctl build --output type=oci,dest=image.tar --attest type=sbom,generator=github.com/anchore/syft
FROM 基础镜像必须满足哪些安全条件
不是所有标着 “alpine” 或 “distroless” 的镜像都算安全基线——关键看是否满足三件事：已知漏洞清零、无 root 默认用户、包管理器不可用。否则自动化流程一跑，apt update && apt install 类操作可能被 Dockerfile 里隐藏的 RUN 指令触发。
推荐直接用官方认证的基线镜像：
-
ghcr.io/chainguard-images/apko:latest（Chainguard 自研，无包管理器、默认非 root、SBOM 内置） -
public.ecr.aws/distroless/static:nonroot（AWS Distroless，只含 libc，连/bin/sh都没有） - 避免用
debian:slim或ubuntu:22.04，即使加了user 1001，基础层里仍含大量可利用的二进制和配置文件
如何让 CI 流程自动拒绝高危层写入
CI 中最常被绕过的点是：开发者在 RUN 后加了个 curl | sh，或用了未锁版本的 pip 包，而扫描只在最终镜像做——这时漏洞已经进层了。
真正有效的拦截点在构建阶段，靠 BuildKit 的 cache-from + cache-to 配合策略引擎：
- 在
docker build中加入--cache-from type=registry,ref=registry.example.com/cache:base，把已知干净的基础层缓存设为唯一可信源 - 用
buildctl的--opt source-policy=...加载策略文件，禁止匹配到curl.*sh、wget.*bash、pip install.*--no-deps的指令执行 - 策略文件里别写正则
.*，BuildKit 对复杂正则支持不稳定，容易导致整个构建静默失败
镜像打包后怎么验证基线完整性
打包完成不等于安全落地。很多团队把镜像推到 registry 就以为结束了，结果发现 manifest 层里缺 attestation，或者 sbom 是空 JSON，根本没法审计。
验证必须在推送前做，且要查三个东西：
- 用
cosign verify-attestation检查签名是否绑定到该镜像 digest，不是 tag —— tag 可能被覆盖，digest 才唯一 - 用
oras pull提取application/vnd.syft+json类型的 artifact，确认里面artifacts字段非空 - 检查
config.history是否包含可疑的空层或created_by为/bin/sh -c #(nop)的条目，这类通常是恶意注入的信号
最容易被忽略的是：同一份 Dockerfile 在不同机器上构建，哪怕内容完全一样，config.digest 也可能不同——因为 BuildKit 默认把构建主机时间戳写进 created 字段。需要显式加 --opt build-arg=BUILDKIT_INLINE_CACHE=1 并统一时区设置，否则基线就不是“确定性”的。
