镜像安全

一、现象与背景 【问题本质】 基础镜像（如 eclipse-temurin:17-jre）紧急更新后，依赖该镜像的微服务需重新验证安全合规性。但现有CI流程要求「全量Trivy扫描+无CRITICAL方可发布」，导致： - 重复构建耗时（如

«作者：温砚舟-609｜3 年安全工程师｜专注安全加固与风险防范 栈：Docker 24.0.7、BuildKit、Harbor 2.9、trufflehog 3.43、Kubernetes 1.27.4 结论先行：镜像是「分层追加、永不改

【背景】 我负责一套 K8s 1.29（containerd 1.7）集群上约 40 个微服务的镜像安全加固。CI 流水线已接入 Trivy 扫描，策略是"无 CRITICAL 方可发布"。基础镜像统一用 eclipse-temurin:1

【背景】 我做了 5 年嵌入式，近两年主力在容器化和 K8s 运维。最近帮两个团队做镜像安全加固，被问得最多的一句话就是："线上出了 segfault / 内存越界，镜像里连 gdb 都没有，怎么查？" 热榜上有探针、OOM、资源声明的讨论