如何保证 Dockerfile 每次都能产生完全相同的镜像

Question

摘录自 《Docker 开发指南》 13.6.3 可复制及可信任的 Dockerfile

FROM 指令中使用标签或摘要以保证每次下载的镜像完全相同

若 FROM 指令不带标签，则 Docker 默认下载 latest 标签的镜像，而该镜像很容易随着时间的变化而变化。

一个好方法是明确指定镜像的标签，但即使是同一个标签也可能会出现一些小更新，若想要保证镜像完全一致，则需要指定下载镜像的摘要。

FROM redis@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxx...

使用包管理器安装软件时指定版本号

跟上一条类似，使用包管理器安装软件默认安装的是最新版的软件，但有可能随着时间的推移而发生改变。

apt-get install cowsay=3.03+dfsg1-6

但这会带来两个问题:

1. 可能指定的版本号太旧了，包仓库中已经不支持了，这种情况下构建会是彼岸。
2. 有些软件包以来于其他软件包，这种依赖关系可能仅仅是 >= 就行了，因此可能虽然指定的版本号，但其依赖的包依然可能发生改变。

验证任何从互联网上下载的软件和数据

若没有对下载数据进行验证的话，那么数据意外损坏或被恶意篡改将无法被发现。