摘录自 《Docker 开发指南》 13.6.3 可复制及可信任的 Dockerfile
若 FROM 指令不带标签，则 Docker 默认下载 latest 标签的镜像，而该镜像很容易随着时间的变化而变化。
一个好方法是明确指定镜像的标签，但即使是同一个标签也可能会出现一些小更新，若想要保证镜像完全一致，则需要指定下载镜像的摘要。
- FROM redis@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxx...
-
跟上一条类似，使用包管理器安装软件默认安装的是最新版的软件，但有可能随着时间的推移而发生改变。
- apt-get install cowsay=3.03+dfsg1-6
-
但这会带来两个问题:
若没有对下载数据进行验证的话，那么数据意外损坏或被恶意篡改将无法被发现。
湘公网安备 43102202000103号