docker镜像加固需贯穿构建全过程，核心是选可信精简基础镜像（如alpine或distroless）、用多阶段构建消除冗余、以非root用户和只读文件系统限制运行权限，并在ci/cd中集成trivy扫描与镜像签名验证形成自动化安全闭环。
直接从源头控制风险，Docker 镜像加固不是事后补救，而是贯穿构建全过程的系统性实践。核心就三点：选对基础、精简内容、限制权限。
选可信且精简的基础镜像
基础镜像决定攻击面大小。官方认证镜像（如 nginx:1.25.3-alpine）比无版本标签的第三方镜像更可靠；Alpine 镜像体积小、软件包少，漏洞数量通常比 Ubuntu 低 80% 以上；Distroless 镜像连 shell 都没有，适合 Go/Java 等编译型语言的最终运行阶段。
- 禁用
latest标签，固定版本号（如python:3.11-slim-bookworm），避免自动更新引入未知问题 - 优先选用带
-slim或-alpine后缀的官方镜像，避开完整发行版 - 私有环境中统一镜像源，通过 Harbor 等仓库强制拉取前校验签名
构建过程消除冗余和隐患
很多安全问题来自构建逻辑本身。一个 apt-get upgrade 就可能破坏不可变性，一个没删的 node_modules 就能让镜像多出 800MB。
- 用多阶段构建分离编译环境与运行环境，只复制最终二进制或必要文件
- 合并 RUN 指令，减少镜像层数；加
--no-install-recommends和--no-cache-dir避免非必要依赖残留 - 配好
.dockerignore，排除.git、node_modules、.env等敏感或无用目录 - 绝不硬编码密码、密钥、token —— 全部通过环境变量、Secrets 或挂载方式注入
运行身份与文件系统权限收紧
默认 root 运行是最大常见风险。一旦应用被攻破，攻击者直接拿到宿主机 root 权限。
- 在 Dockerfile 中创建非 root 用户（如
adduser -D -s /sbin/nologin appuser），再用USER appuser切换 - 设置
read_only: true让根文件系统只读，仅对日志等必要路径挂载tmpfs或可写卷 - 启动容器时加
--cap-drop=ALL --cap-add=NET_BIND_SERVICE，按需授权能力，不给多余权限 - 配合
--security-opt no-new-privileges:true，防止进程提权
扫描与验证形成闭环
人工检查靠不住，必须自动化嵌入流程。
- CI/CD 流水线中集成 Trivy 扫描：
trivy image --severity HIGH,CRITICAL myapp:tag - 配置 Harbor 自动阻断 CVSS ≥ 7.0 的高危漏洞镜像上传
- 启用 Docker Content Trust（
DOCKER_CONTENT_TRUST=1），只拉取已签名镜像 - 定期重跑扫描，尤其在基础镜像发布新版本后及时跟进
