distroless安全缺口：为何自底向上构建的容器将成为OCI镜像的下一步演进

试图缩小容器镜像以减少攻击面的开发者，往往会遇到一个令人头疼的悖论：容器越精简，漏洞扫描工具就越难看清其中的内容。整个行业正面临一种张力：一方面要缩小容器攻击面，另一方面又要保持必要的安全可见性。要理解这一局面的成因及解决办法，需要回顾容器过去的构建方式，以及现有方法为何难以满足上线后的日常运维需求。长期以来，完整容器镜像一直是行业标准：开发者拉取包含完整操作系统的基础镜像，在其上打包应用代码，然后发布到生产环境。这种方式虽然方便，却带来巨大的安全问题。这类镜像包含shell、包管理器以及大量应用在运行时从未用到的工具，其中每一个未使用的软件都可能成为潜在漏洞，使攻击面不必要地扩大；一旦攻击者攻破应用，便立即拥有一整套工具，可下载更多程序并扩大攻击。为解决这些问题，“distroless”（无发行版）理念应运而生，其思路是将容器精简到应用运行所需的最少依赖，不含shell、包管理器或额外工具。这确实缩小了攻击面，但也带来高昂的运维代价：制作distroless镜像复杂、脆弱且容易出错。在挑选组件并大幅裁剪镜像的过程中，记录已安装内容的软件包元数据常常被完全删除，由此产生的意外后果，就是如今所说的“distroless安全缺口”。