Docker镜像防篡改通过只读层固化核心资产、禁用可写层、使用digest锁定版本、启动时校验文件完整性四步实现：代码/配置等置入只读层；运行时加--read-only并配tmpfs；部署强制用sha256 digest；ENTRYPOINT中校验关键文件SHA256。
Docker镜像的只读层原理天然具备防篡改基础：所有镜像层在运行时默认只读，任何文件修改都会被重定向到顶部可写层（container layer），原始层内容毫发无损。利用这一机制设计防篡改Web应用，关键不是“阻止修改”，而是让非法或意外修改无法持久、不可混淆、易于识别。
用只读层固化核心资产
Web应用中真正需要防篡改的是代码逻辑、配置模板、静态资源和启动脚本——这些应全部落在镜像只读层内，且严格分层隔离：
- 底层：精简OS + 运行时（如nginx:alpine、python:3.11-slim），固定digest拉取，避免tag漂移
- 中间层：应用源码（COPY ./src /app）、Nginx配置（COPY nginx.conf /etc/nginx/conf.d/）、证书（COPY tls.crt /app/certs/）
- 顶层：仅保留ENTRYPOINT/CMD等元信息，不放可变内容
这样，一旦容器内进程尝试覆盖/app/main.py或修改/etc/nginx/conf.d/app.conf，overlay2会将变更写入可写层，原镜像层文件不受影响；重启后自动恢复干净状态。
禁用容器可写层写入能力
只读层只是默认行为，需主动关闭运行时写权限，从根源阻断篡改路径：
- 启动时加
--read-only参数：docker run --read-only -p 80:80 mywebapp - 配合
--tmpfs指定必要临时目录：--tmpfs /tmp:rw,size=10m --tmpfs /run:rw,size=5m - 对必须挂载的外部路径（如日志、上传目录），显式声明只读：
-v /host/logs:/app/logs:ro
此时，任何对/app/下文件的写操作（包括echo "x" > main.py）会直接报错Read-only file system，连临时污染都做不到。
用内容寻址锁定真实版本
标签（如myweb:v2.3.0）易被覆盖，不能作为可信依据。应全程使用digest定位：
- 构建后立即记录完整digest：
docker inspect myweb:prod --format='{{index .RepoDigests 0}}'→myweb@sha256:7a8b9c... - 生产部署命令强制指定digest：
docker run myweb@sha256:7a8b9c... - CI流水线中校验：拉取后执行
docker image inspect myweb@sha256:7a8b9c... --format='{{.Id}}'，比对是否与构建时一致
只要digest匹配，就100%确认运行的是当初构建并审计过的那一份二进制内容——哪怕仓库里同名tag已被覆盖多次。
运行时主动校验关键文件完整性
即使启用--read-only，仍需防范启动前镜像被替换（如中间人劫持pull过程）。可在容器启动入口加入轻量校验：
- 在
ENTRYPOINT脚本开头检查关键文件SHA256：echo "verifying /app/main.py..." if ! echo "abc123... /app/main.py" | sha256sum -c -; then echo "CRITICAL: main.py tampered!" >&2 exit 1 fi
- 校验值（
abc123...）在构建阶段动态生成并硬编码进镜像，不依赖外部服务 - 只校验核心逻辑文件（1–3个），避免性能损耗
该步骤在每次容器启动时执行，是只读层机制的主动增强，而非替代。
不复杂但容易忽略
