信任不维护内容信任的 docker hub 镜像

Question

我最近一直在研究将容器用于节点应用程序的可能性。

理想情况下，我想在使用图像时使用--disable-content-trust=false 。 这在下载 alpine 时有效（即，当我docker pull --disable-content-trust=false alpine与当我docker pull --disable-content-trust=true alpine时得到相同的图像）。

但是，这不适用于 node:alpine。 当我docker pull --disable-content-trust=false node:alpine我得到一个有漏洞的 13 个月大的图像（根据 snyk），使用 docker docker pull --disable-content-trust=true node:alpine我只得到一个八天大。

似乎这是一个已知问题，并且 docker 以某种方式参与了它的破坏（因为该节点是官方图像）。 我没有做过太多的深入研究。

https://github.com/nodejs/docker-node/issues/1065 https://github.com/docker-library/official-images/issues/6838

我对任何愉快地使用来自集线器的 docker 图像的人的问题是，您是仅依赖于下载时发生的 sha256 校验和还是坚持使用内容信任有效的图像并自己从那里建立？ （也许这更适合软件工程？如果是这样道歉）

我知道这在很大程度上取决于您的威胁模型，但仍然感兴趣！