漏洞数量无法永久归零，多阶段构建可系统性消除编译工具残留、基础镜像臃肿、敏感文件误复制三类漏洞源，并需配套非root运行、禁用运行时安装、清除suid位、凭证外部注入及持续扫描阻断。
不能将漏洞数量永久降低为零。
这是个根本性认知误区。多阶段构建是显著降低漏洞数量和攻击面的强效手段，但它无法、也不承诺“归零”。漏洞来源复杂，涉及基础镜像组件、上游依赖库、应用代码逻辑、运行时配置乃至宿主机内核，而多阶段构建只作用于镜像构建环节。
真正可行的目标是：在构建阶段系统性消除可预防的、高概率暴露的漏洞源。以下是关键落点：
用多阶段构建切断三类典型漏洞链
编译工具残留漏洞（如 gcc、make、git、curl）
→ 它们只存在于 builder 阶段，不进入最终镜像，彻底移除 CVE-2023-1234 这类工具链漏洞的利用路径基础镜像臃肿引入的 OS 层漏洞（如 Ubuntu 中的 systemd、dbus、openssl 旧版本）
→ 改用alpine:3.20或gcr.io/distroless/static-debian12，体积压至 5–15MB，组件数减少 80%+，CVE 数量自然锐减意外复制导致的敏感泄露（
.env,id_rsa,secrets/,build.log）
→ 严格限定COPY --from=builder /app/bin/myapp .，禁用COPY --from=builder /app .这类宽泛复制
必须同步落地的配套动作
-
运行阶段强制非 root 用户：
minimax-mcp-docker版（适配极空间）下载MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
RUN adduser -D appuser && chown -R appuser:appuser /app USER appuser
禁止运行时安装包：不在 final 阶段执行
apk add或apt-get install，避免引入未经审计的第三方二进制-
清除 SUID 位（尤其 Go/Rust 静态编译产物）：
RUN find /app -type f -perm /6000 -exec chmod u-s {} \; 2>/dev/null 所有密钥、凭证、API Token 必须通过环境变量或 Kubernetes Secret 注入，绝不写入镜像层
漏洞归零不可行，但可控可测可收敛
即便做到上述全部，仍需持续做两件事：
- 每次构建后跑
trivy image --severity CRITICAL,HIGH myapp:latest - 将扫描结果接入 CI 流水线，对 CRITICAL 漏洞自动阻断发布
镜像安全不是一次构建的结果，而是构建策略 + 基础镜像更新节奏 + 依赖审计 + 运行时防护组成的闭环。多阶段构建是这个闭环里最有力的第一道闸门——它不让已知风险进门，但不能保证门外永远没有新风险。
