distroless通过彻底移除/bin/sh、apt等所有shell及工具，使攻击者即使突破应用层也无法执行命令或横向移动，其安全本质在于消除可执行入口点而非单纯减小体积。
直接用 Distroless 镜像打造“无 shell、高安全”的运行时，核心在于不带交互入口、只留最小依赖、靠多阶段构建隔离环境。它不是简单换基础镜像，而是一套运行逻辑的重构。
为什么必须“无 shell”才算真正高安全
Distroless 的安全价值不在体积小，而在移除所有可执行入口点：没有 /bin/sh、没有 apt、没有 ls 或 cat。攻击者即使突破应用层，也无法在容器内提权、下载恶意工具或横向移动。这不是“难进”，而是“进去后什么都干不了”。
注意：默认镜像不含 shell 是硬性设计，不是配置选项。一旦你用 :debug 标签或手动加 busybox，就等于主动打开后门——仅限开发调试，严禁上生产。
实战四步：从构建到上线不破防
1. 严格使用多阶段构建，彻底分离编译与运行
构建阶段用完整 SDK 镜像（如 golang:1.22 或 maven:3.9-openjdk-21），运行阶段只 COPY 编译产物，不带任何构建工具链。
- Go 示例中必须设
CGO_ENABLED=0 GOOS=linux，确保静态链接，避免运行时缺.so - Java 打包后只 COPY
*.jar，不 COPYsrc/、pom.xml或target/全目录 - Python 必须在构建阶段预编译 wheel 并安装到临时目录，再 COPY 到 Distroless 镜像中
2. 选对镜像标签，拒绝模糊引用
永远显式指定 Debian 版本和变体，例如：
-
gcr.io/distroless/java21-debian13（非java21或latest） -
gcr.io/distroless/python3-debian12:nonroot（强制非 root 用户启动） -
gcr.io/distroless/static-debian13（纯静态二进制，零系统库依赖）
3. 入口点必须用 exec 形式，禁用 shell 解析
Distroless 没有 /bin/sh，所以 ENTRYPOINT java -jar app.jar（字符串形式）会失败。
- ✅ 正确：
ENTRYPOINT ["java", "-jar", "/app.jar"] - ✅ 正确：
CMD ["./myserver"] - ❌ 错误：
ENTRYPOINT java -jar /app.jar - ❌ 错误：
CMD ./myserver --port=8080
4. 主动声明可写路径，避免运行时权限崩溃
Distroless 默认根文件系统为只读，且不自带 /tmp。应用若尝试写日志、生成临时文件或加载 native 库，会直接报 Permission denied。
- 在 Dockerfile 中明确添加：
VOLUME ["/tmp", "/var/log/myapp"] - Java 应用需加 JVM 参数：
-Djava.io.tmpdir=/tmp - Python 若用
tempfile，应指定dir="/tmp"
上线前必做三件事
验证镜像是否真“无壳”：docker run --rm -it gcr.io/distroless/java21-debian13 sh —— 应立即报错 executable file not found in $PATH，而非进入交互界面。
扫描依赖完整性：
对最终镜像运行 ldd /app.jar（Java 不适用）或 ldd /app（Go/C），确认无 not found 条目；Python 可用 pip show 验证 wheel 是否全量安装。
签名与溯源：
用 cosign 验证镜像来源：cosign verify gcr.io/distroless/java21-debian13@sha256:xxx，确保未被篡改。
