不能利用 add 指令下载远程安全证书并配置到系统镜像，因自 docker 17.05 起已彻底移除对远程 url 的支持，且 add 缺乏校验、签名验证与凭据管理能力，存在严重安全风险。
不能利用 ADD 指令下载远程安全证书并配置到系统镜像。
自 Docker 17.05 起，ADD 对远程 URL（如 https://...）的支持已被彻底移除。任何形如ADD https://example.com/cert.pem /usr/local/share/ca-certificates/
的写法，在构建时会直接报错：ADD does not support remote URLs
这不是配置问题，也不是版本兼容性问题，而是 Docker 官方为保障构建可重现性、缓存可控性与内容可审计性所作的强制限制。ADD 本身不校验证书来源、不验证 TLS 有效性、不检查哈希或签名，也不支持凭据管理——它不具备安全下载能力。
所以，“用 ADD 下载远程证书”在技术上不可行，且存在严重安全风险。
安全配置证书的正确做法
应使用 RUN 显式下载 + 校验 + 安装流程，确保每一步可验证、可中断、不留残留：
- 用 curl 或 wget 下载证书文件，并启用 SSL 验证（避免 `-k`）
- 配合 sha256sum 或 gpg 进行完整性与签名校验
- 调用系统命令（如 `update-ca-certificates`）完成安装
- 立即清理临时文件，防止污染镜像
示例：下载并安装可信 CA 证书
以下写法适用于 Alpine 或 Debian 系基础镜像：
RUN set -eux; \ curl -fsSL https://curl.se/ca/cacert.pem -o /tmp/cacert.pem && \ echo "sha256:5a8c4d5b7a... /tmp/cacert.pem" | sha256sum -c - && \ cp /tmp/cacert.pem /usr/local/share/ca-certificates/curl-ca.crt && \ update-ca-certificates && \ rm -f /tmp/cacert.pem
涉及敏感证书时（如私有 PKI 根证书）
禁止硬编码 URL 或明文 token。推荐使用 BuildKit secret 机制：
- 构建时通过
--secret id=ca_cert,src=./internal-root.crt注入 - Dockerfile 中用
RUN --mount=type=secret,id=ca_cert ...读取 - 证书内容仅存在于该 RUN 步骤内存中，不会写入镜像层
多阶段构建中隔离证书操作
若证书仅用于构建过程（如访问私有仓库），应放在 builder 阶段，最终运行镜像不包含任何证书文件：
FROM alpine:latest AS builder
RUN apk add --no-cache curl && \
curl -fsSL --cacert /path/to/internal-ca.crt \
https://internal.example.com/tool.tar.gz | tar -xzf - -C /tmp
<p>FROM alpine:latest
COPY --from=builder /tmp/tool /usr/local/bin/tool</p>
不复杂但容易忽略。关键不是“怎么加”，而是“谁来保证它可信、没被篡改、不泄露”。
