apko 声明式 OCI 镜像构建器

解决什么问题

传统的 Dockerfile 流程会把大量构建历史留在镜像里：每一层缓存、基础镜像自带的软件包、为了装工具而产生的中间痕迹，最终都会进入产物。当你需要审计镜像里到底装了什么，或者希望镜像尽可能小的时候，这种流程就显得笨重。

apko 换了思路：用一份声明式的包配置清单（YAML）描述基础发行版和要安装的包，直接组装出 OCI 镜像。镜像内容完全由清单决定，不携带构建步骤的历史。

核心能力与工作方式

• 声明式清单：在 YAML 中指定基础系统（如 Alpine）与软件包，apko 负责解析依赖并组装镜像层
• 完全可重现：默认行为就是可重现的，同样的输入跑两次，得到的二进制完全一致，便于审计与重建
• s6 进程管理：支持通过 s6 监督套件在一个镜像里运行多个进程，适合构建多服务容器的基础层
• OCI tar 输出：构建产物是标准 OCI 镜像 tar，可以直接加载进容器环境使用

典型步骤：编写包清单 → 运行 apko build，指定清单、镜像名与输出 tar → 将产物加载到目标环境。

适用边界与注意点

• 需要事先准备好对软件源（包仓库）和 OCI 输出目标的访问权限
• 工作方式由清单驱动，而非临时的 shell 指令；从 Dockerfile 迁移时，需要重新考虑如何描述镜像内容
• 具体行为细节以 Chainguard 官方上游文档为准，遇到疑问时应回到上游资料核对