容器安全

这一课你将能做到

1. 用 Trivy 扫描一个 Docker 镜像，解读报告里的 CVE 严重等级和修复版本
2. 给本站 Spring Boot 应用写一份最小化、分阶段构建的 Dockerfile，并解释每行安全含义
3. 说出 K8s 中 3 个关键安全配置（非 root 用户、只读根文件系统、资源限制）及其 YAML 写法

为什么要学

容器让环境一致性变成默认选项，但也把「整个操作系统 + 依赖库 + 应用」打成一个包——包里任何一个漏洞都是攻击面。Alpine 官方镜像曾经出现过 CVE，Log4Shell 的利用链里容器逃逸是常见路径。而最小化镜像、非 root 运行、资源限制，这些基础控制能挡住大部分自动化扫描和简单逃逸。

人话：容器安全三板斧——镜像最小化（少漏洞）、运行加固（跑不动坏事情）、扫描持续化（新 CVE 出来就修）。latest 标签不是方便的代名词，是不可重现性的安全噩梦。

先建立图像

容器安全生命周期：

构建阶段 ──→ 分发阶段 ──→ 运行阶段 ──→ 销毁阶段
    │            │            │            │
    ├ SBOM      ├ 签名       ├ 非 root     ├ 数据擦除
    ├ 最小基板   ├ 私有仓库    ├ 只读根      ├ 日志归档
    ├ 无编译工具 ├ 漏洞扫描    ├ 资源限制    ├ 审计闭环
    └ 扫描报告   └ 准入策略    └ 网络隔离    └ 镜像 GC

为什么最小化很重要：

镜像大小      │ 攻击面 │ 构建速度 │ 部署速度
─────────────┼────────┼──────────┼─────────
ubuntu:22.04 │ 很大   │ 慢       │ 慢
openjdk:17   │ 大     │ 中       │ 中
distrolless  │ 极小   │ 快       │ 快
debug 工具    │ 无     │ 极简     │ 极简

跟着做

步骤 1：写最小化、分阶段构建的 Dockerfile

本站 Spring Boot 应用的安全 Dockerfile：

# 阶段 1：编译，所有工具都在这，不用进最终镜像
FROM eclipse-temurin:17-jdk-alpine AS builder
WORKDIR /build
COPY pom.xml .
COPY src src
RUN ./mvnw package -DskipTests -q

# 阶段 2：运行，只放 JRE 和编译产物，去掉编译工具
FROM eclipse-temurin:17-jre-alpine
# 不用 root
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

# 健康检查
HEALTHCHECK --interval=30s --timeout=3s --start-period=60s \
  CMD wget -q --spider http://localhost:8080/actuator/health || exit 1

WORKDIR /app
# 只从 builder 阶段复制产物，源代码不进运行镜像
COPY --from=builder /build/target/app.jar app.jar

# 元数据：用 SHA 或版本号标签，不要用 latest
LABEL version="1.2.3"
LABEL org.opencontainers.image.source="https://github.com/coderoadmap/backend"

EXPOSE 8080
ENTRYPOINT ["java", "-jar", "app.jar"]

关键安全行解释：

USER appuser            以非 root 身份运行，即使容器逃逸也拿不到 root
jre-alpine              只包含运行时，去掉编译器、gcc、bash 等工具
--from=builder          多阶段构建，源代码/依赖缓存/编译产物不留在最终镜像
LABEL version           可追溯性，出事后能知道线上跑的是哪个 commit 的产物

构建和打标签：

docker build -t coderoadmap/app:1.2.3 -t coderoadmap/app:git-$(git rev-parse --short HEAD) .
# 绝不用 :latest 推生产