sublime 中运行 hadolint 需配置自定义构建系统，前提是本地已安装 hadolint；需用绝对路径调用、正确设置 file_regex 实现点击跳转，并注意 path 环境与 ${file} 路径兼容性问题。
Sublime 里怎么跑 Hadolint 扫描 Dockerfile
不能直接在 Sublime 界面点一下就出 lint 结果——它没有内置 Hadolint 集成。你得靠构建系统（sublime-build）调用宿主机上的 hadolint 命令，把当前打开的 Dockerfile 传给它检查。
关键前提是：本地已安装 hadolint，且能从终端执行 hadolint --version 成功返回版本号。如果报 command not found，说明 Sublime 的环境 PATH 没继承到，需在构建配置里写绝对路径（比如 /usr/local/bin/hadolint 或 $HOME/.local/bin/hadolint）。
- 新建一个构建系统文件：
Packages/User/Hadolint.sublime-build -
cmd字段必须用数组形式，避免 shell 解析问题，例如：["/usr/local/bin/hadolint", "${file}"] - 加上
"selector": "source.dockerfile"，确保只在 Dockerfile 文件中显示该构建选项 - 如果想看到更详细的输出（含行号和建议），加参数：
["/usr/local/bin/hadolint", "-f", "json", "${file}"]，但注意 Sublime 默认不解析 JSON 格式输出，纯文本模式更实用
为什么扫描结果总为空或报错“no such file”
常见原因不是 Hadolint 本身坏了，而是 Sublime 传入的路径没被正确识别。特别是当 Dockerfile 不在项目根目录、或使用了符号链接、或文件名含空格时，${file} 变量可能展开失败或带不可见字符。
- 优先用
${file_path}/${file_name}拼接，比单个${file}更稳定 - 如果文件路径含中文或空格，
hadolint默认会失败；解决办法是改用sh -c包一层，并用单引号包裹路径：["sh", "-c", "hadolint '${file}'"] - 检查 Sublime 构建系统是否运行在正确的 shell 环境下：macOS/Linux 用户确认
"shell": true已启用；Windows 用户需确认是否用了 Git Bash 或 WSL 路径，原生 cmd 对hadolint支持极差 - 临时在终端手动执行相同命令验证路径有效性，比如：
hadolint /full/path/to/Dockerfile
如何让扫描结果可点击跳转到具体行
Sublime 的构建面板支持正则匹配错误行号并跳转，但默认 hadolint 的普通输出格式（如 Dockerfile:5 SC2006: Use $(...) instead of legacy `...`）不被自动识别。你需要显式配置 file_regex。
- 在
Hadolint.sublime-build中添加字段："file_regex": "^(.+?):([0-9]+):.*$"
- 这会把形如
Dockerfile:5:的前缀提取为文件+行号，点击即可跳转 - 若希望同时捕获列号（用于精确定位），可用更严格的正则：
"file_regex": "^(.+?):([0-9]+):([0-9]+):.*$"
，对应输出需开启-f compact或自定义格式 - 注意：该正则只对 hadolint 的 compact 格式有效；默认格式中冒号后还有空格和规则 ID，需同步调整正则或改用
-f stylish+ 自定义解析（不推荐）
扫描通过了，但 Dockerfile 还是不安全？
Hadolint 是语法与风格检查器，不是漏洞扫描器。它不会检测基础镜像里的 CVE、不会分析 RUN apt-get install 安装的包是否有已知风险，也不会判断多阶段构建中中间镜像是否残留敏感文件。
- 它能发现：
FROM latest、未加--no-install-recommends、COPY . .未排除.git、USER root等明确违规项 - 它不能发现：
FROM ubuntu:22.04是否含已知高危漏洞、RUN pip install flask是否拉取了恶意包、ENV SECRET=xxx是否硬编码密钥 - 真正合规需要分层动作：Hadolint 做第一道语法卡口 →
docker scan或trivy image做漏洞扫描 → 人工审查权限模型与 secrets 注入方式 - 别依赖单一工具给出“已合规”结论；Hadolint 报告里标
OK，只代表它没找到它知道的问题
${file} 在不同操作系统下的路径语义差异——尤其 Windows 上反斜杠和驱动器字母处理容易出错。先确保终端能跑通，再迁移到 Sublime，比反过来调试快得多。
