技能介绍

解决什么问题

Dockerfile 往往同时承担镜像构建、依赖安装和运行环境声明的职责。一个看似简单的 RUN 指令，可能包含 apt-get update 与安装混写、忽略 --no-install-recommends、下载后未校验、用 curl 执行远端脚本、在容器里使用 sudo、以 root 运行最终进程，或顺手写死 latest 这类脆弱默认值。这些问题不一定让构建立刻失败，却可能把临时补丁固化进镜像，等到安全评审、回归测试或生产扩缩容时才暴露。

技能如何工作

这个技能把 Dockerfile 交给 hadolint 做静态检查，核心不是执行镜像，而是审阅构建脚本本身：

读取目标：定位需要检查的 Dockerfile，关注构建阶段、依赖安装、用户切换、网络下载和环境变量默认值。
执行检查：调用 hadolint 解析指令与 shell 片段，识别高风险写法、容易破裂的安装习惯和常见 shell 陷阱。
解释命中：按规则和行号整理结果，说明哪类默认设置或写法容易引入不稳定、不安全或不可复现的镜像。
给出修正方向：提示更明确的安装参数、固定版本、最小权限、分层缓存和可复现构建替代方案，但不替代人工判断。

关键步骤可以概括为：先确定要审查的 Dockerfile，再运行静态 lint，随后按命中项回看上下文，判断是必须修掉的风险，还是团队当前可接受的折中。

适用边界与注意点

它适合作为镜像发布前的静态门禁，尤其适合检查构建脚本中的默认值和危险模式；但它不会完整证明镜像运行时安全，也不能替代漏洞扫描、依赖来源验证或渗透测试。对于高度定制的构建流程，某些规则可能误报；反过来，规则未命中也不等于 Dockerfile 正确。建议把结果当作工程证据：高风险项应修复，低风险项需结合基础镜像、构建环境、运行时用户和交付节奏判断。