distroless能从源头消灭shell漏洞，因其完全不包含/bin/sh、/bin/bash等任何shell解释器及apk、apt、curl等可滥用工具，攻击者即使获得执行权限也无入口点拼接命令或下载payload。

直接用 Distroless 镜像构建容器，能从源头消除 Shell 漏洞——因为它根本就没有 /bin/sh、/bin/bash，也没有任何可执行的 shell 解释器。

为什么Distroless能真正“消灭”Shell漏洞

传统镜像（如 ubuntu:22.04、node:20-alpine）默认自带完整 shell 环境。只要应用存在命令拼接、动态执行等逻辑缺陷，攻击者就可能注入并执行任意命令。而 Distroless 的设计原则是“只放运行必需的”，连 /bin 目录都不存在：

• 不包含 sh、bash、ash 等任何 shell 解释器
• 不带 apt、apk、curl、wget、tar 等可被滥用的工具
• 最小镜像（如 gcr.io/distroless/static-debian11）仅约 650 KB，只有 glibc 和你的二进制文件

关键不是换镜像，而是配合多阶段构建

单纯把 FROM node:20 改成 FROM gcr.io/distroless/nodejs22-debian12 不够，必须确保编译、依赖安装、调试工具全部隔离在构建阶段：

一览运营宝

一款面向视频内容运营的AI创作工具，可辅助进行视频内容策划、创作和运营工作，帮助内容团队提高视频生产效率。

下载

• Go 应用：设 CGO_ENABLED=0 静态编译，产物直接 COPY 到 distroless/static
• Java 应用：用 gcr.io/distroless/java17-debian13，只 COPY 打包好的 JAR，ENTRYPOINT 启动 JVM
• Node.js 应用：选对应版本镜像（如 nodejs22-debian12），COPY 构建输出目录（如 dist/），CMD 用 node index.js 启动——该镜像中 node 是唯一可执行程序

必须同步落实的三项加固动作

Distroless 不是“一换就安全”，需配套操作才能闭环：

• 构建阶段显式创建非 root 用户：RUN groupadd -g 1001 -f appgroup && useradd -r -u 1001 -g appgroup appuser，运行阶段用 USER appuser
• 禁用容器特权模式与 CAP_SYS_ADMIN 等高危能力，防止绕过限制
• 验证最终镜像是否真无 shell：docker run --rm -it your-image /bin/sh 应返回 “No such file or directory”

替代方案：别再依赖 exec 或 shell 脚本做健康检查

传统做法常用 exec 探针调用 curl 或 sh -c 脚本，但在 Distroless 中不可行。应改用：

• HTTP 探针（livenessProbe.httpGet）直连应用端口
• TCP 探针检测端口连通性
• 进程信号（如向主进程发 SIGUSR1）触发内置健康状态上报