docker 圖像摘要真的安全嗎？

Question

docker 如何處理摘要？

我可以在純文本中看到，當我運行docker image --inspect時，圖像的摘要。 還有一個問題是本地圖像在我將它們推送到注冊表之前沒有摘要（並且AFAIK，如果我將圖像推送到各種注冊表，它將有各種摘要，但從未嘗試過）。

我擔心 docker 可能實際上是在使用該信息，而不是每次我使用或提取圖像時計算 hash。

有沒有辦法真正告訴 docker：“嘿，我希望你現在重新檢查 hash 的圖像內容。它們與我第一次創建圖像時完全相同嗎？還是有人操縱過它？”

並且：docker 是否真的計算出 hash 每次運行圖像（通過摘要），或者至少每次提取圖像時（通過摘要）？

Answer 1

摘要是在推送和拉取到注冊表時計算的。 它是映像清單的 sha256 校驗和，它是 docker 的當前版本，獨立於注冊表（舊模式 v1 語法包括清單中的存儲庫/標簽，導致摘要根據映像名稱而變化）。 層摘要包含在該清單中，注冊表中的這些摘要是壓縮的 tar 文件。 在本地 docker 引擎上提取文件后，它們不會被重新驗證，而且我還不知道有一個命令可以驗證/var/lib/docker下的文件自圖像被拉出后沒有被更改。