多阶段构建通过“减法”提升生产镜像安全基线：剥离构建依赖、强制非root运行、只读根文件系统、精确授予权限、分阶段注入配置、强化阶段命名与访问控制。

多阶段构建本身不是安全隔离机制，但它能显著提升生产镜像的安全基线——关键在于“减法”：只保留运行必需的文件、用户、权限和系统组件。

剥离构建依赖，缩小攻击面

编译工具链（如 gcc、make）、调试器（gdb）、包管理器（apt、apk）在运行时完全不需要。多阶段构建天然支持将它们锁死在 builder 阶段：

• 第一阶段用 golang:1.21 或 node:20-slim 完成编译，不保留 shell 或交互能力
• 第二阶段直接基于 alpine:latest 或 distroless 镜像（无 shell、无包管理器、无 libc 外部依赖）
• 只用 COPY --from=builder 复制最终二进制或静态资源，不复制源码、node_modules、go.mod 等非运行时内容

强制非 root 运行与最小权限模型

即使使用轻量基础镜像，仍需显式约束运行身份和能力：

Pandas 配置文件报告生成器

使用ydata-profiling（前身为pandas-profiling）生成全面的数据质量报告，包含相关性分析、缺失值模式和基数检测。导出交互式HTML仪表板和JSON摘要。

下载

• 在运行阶段添加 USER 1001:1001（非 0 用户），避免容器内提权风险
• 配合 --read-only 启动参数，或在 Dockerfile 中设 RO_ROOTFS=true，使根文件系统只读
• 用 --cap-drop=ALL --cap-add=NET_BIND_SERVICE 精确授予必要能力，禁用 SYS_ADMIN、NET_RAW 等高危能力

分阶段注入配置与凭证，避免硬编码泄露

敏感信息不应出现在镜像层中。多阶段可配合构建时上下文做安全分发：

• 在 builder 阶段通过 --build-arg CONFIG_ENV=prod 传入环境标识，动态生成配置模板
• 用 RUN cp /configs/${CONFIG_ENV}.yaml /app/config.yaml 替换占位符，但不把真实密钥写入镜像
• 生产部署时，通过 Kubernetes Secret 或 Docker Config 挂载真实配置，与镜像解耦

构建阶段命名与访问控制强化

默认所有构建阶段都可被 --from 引用，存在意外暴露风险：

• 为 builder 阶段显式命名（如 FROM golang:1.21 AS build-env），避免使用未命名阶段被误引用
• CI 流水线中限制 docker build --target 只允许构建最终运行阶段，禁用 --target build-env
• 若需审计，可在构建后用 docker history 验证中间层是否为空（如 builder 阶段未被保存为镜像）