Day 11 基础镜像选择指南：Alpine vs Ubuntu vs Distroless

浏览：20次阅读

没有评论

共计 4411 个字符，预计需要花费 12 分钟才能阅读完成。

Docker 30 天实战系列 · Day 11

在昨天学习了多阶段构建后，你可能会问：

🤔 " 运行阶段该用什么镜像？"
📦 "Alpine 那么小，是不是最佳选择？"
🔒 "Distroless 是什么？安全性真的更好吗？"

今天，我们深入对比主流基础镜像，帮你做出最佳选择。

✅ 理解主流基础镜像的特点和差异
✅ 学会根据场景选择合适的基础镜像
✅ 掌握各类镜像的安全性和兼容性考量
✅ 了解 Distroless 镜像的使用方法

阅读时间 ：约 12 分钟
难度等级 ：⭐⭐⭐☆☆

┌─────────────────────────────────────────────────────────────┐
│                    Docker 基础镜像分类                       │
├─────────────────────────────────────────────────────────────┤
│                                                             │
│  通用发行版                    精简 / 专用镜像                  │
│  ┌──────────────┐            ┌──────────────┐              │
│  │   Ubuntu     │            │   Alpine     │              │
│  │   Debian     │            │  Distroless  │              │
│  │   CentOS     │            │   Scratch    │              │
│  │   Fedora     │            │   Busybox    │              │
│  └──────────────┘            └──────────────┘              │
│                                                             │
│  特点：功能完整、体积较大        特点：体积小、功能精简         │
│  适合：开发调试、复杂应用        适合：生产部署、微服务          │
│                                                             │
└─────────────────────────────────────────────────────────────┘

镜像	大小	包管理器	Shell
ubuntu:22.04	~77MB	apt	bash
debian:bookworm	~124MB	apt	bash
debian:bookworm-slim	~74MB	apt	bash
alpine:3.18	~7MB	apk	sh
gcr.io/distroless/static	~2MB	无	无
scratch	0MB	无	无

特性	Ubuntu	Debian	Alpine	Distroless	Scratch
体积	大	中	小	极小	零
包管理	✅ apt	✅ apt	✅ apk	❌	❌
Shell	✅ bash	✅ bash	✅ sh	❌	❌
调试工具	✅	✅	部分	❌	❌
glibc	✅	✅	❌ musl	✅	–
安全性	中	中	高	极高	极高

特点：

最接近完整 Linux 系统
包含完整工具链
使用 glibc（兼容性最好）
社区支持完善

适用场景 ：

开发和调试环境
需要大量系统工具的应用
对兼容性要求高的场景
新手学习使用

FROM ubuntu:22.04
RUN apt-get update && apt-get install -y \
    curl \
    vim \
    && rm -rf /var/lib/apt/lists/*

优化建议 ：使用 -slim 变体

FROM debian:bookworm-slim

特点：

极小体积（约 7MB）
使用 musl libc（非 glibc）
使用 apk 包管理器
安全导向设计

适用场景 ：

对镜像大小敏感的场景
简单应用和微服务
CI/CD 流水线
静态编译的程序

FROM alpine:3.18

# 安装常用工具
RUN apk add --no-cache \
    curl \
    ca-certificates

# 时区设置
RUN apk add --no-cache tzdata && \
    cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime

注意事项 ：

⚠️ musl vs glibc 兼容性问题

# 某些依赖 glibc 的程序可能无法运行
# 错误示例：# Error loading shared library libstdc++.so.6

# 解决方案 1：安装兼容层
RUN apk add --no-cache libc6-compat

# 解决方案 2：使用 glibc 版本的 Alpine
FROM frolvlad/alpine-glibc:alpine-3.18

⚠️ DNS 解析差异

Alpine 的 musl DNS 解析行为与 glibc 不同，某些情况下可能出现问题：

# 添加 DNS 解析修复
RUN echo "hosts: files dns" > /etc/nsswitch.conf

什么是 Distroless？

Google 推出的精简镜像，只包含应用运行所需的最小依赖，不包含：

包管理器
Shell
任何非必要的程序

特点：

极小攻击面
符合最小权限原则
适合安全敏感的生产环境
无法 shell 进入容器

可用变体 ：

镜像	用途	大小
gcr.io/distroless/static	静态编译程序 (Go/Rust)	~2MB
gcr.io/distroless/base	需要 glibc 的程序	~20MB
gcr.io/distroless/java	Java 应用	~200MB
gcr.io/distroless/python3	Python 应用	~50MB
gcr.io/distroless/nodejs	Node.js 应用	~120MB

使用示例 ：

# Go 应用使用 distroless
FROM golang:1.21 AS builder
WORKDIR /app
COPY . .
RUN CGO_ENABLED=0 go build -o main .

FROM gcr.io/distroless/static:nonroot
COPY --from=builder /app/main /
USER nonroot:nonroot
ENTRYPOINT ["/main"]

# Java 应用使用 distroless
FROM maven:3.9 AS builder
WORKDIR /app
COPY . .
RUN mvn package -DskipTests

FROM gcr.io/distroless/java17-debian11
COPY --from=builder /app/target/*.jar /app.jar
ENTRYPOINT ["java", "-jar", "/app.jar"]

调试 Distroless：

由于没有 Shell，调试需要使用 debug 变体：

# 使用 debug 版本（包含 busybox shell）docker run -it gcr.io/distroless/static:debug sh

特点：

完全空白的镜像（0 字节）
只能运行静态编译的程序
无任何运行时依赖

适用场景 ：

静态编译的 Go 程序
Rust 程序
静态链接的 C/C++ 程序

FROM golang:1.21 AS builder
WORKDIR /app
COPY . .
# 必须静态编译
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o main .

FROM scratch
# 如果需要 HTTPS，复制 CA 证书
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
COPY --from=builder /app/main /main
ENTRYPOINT ["/main"]

限制：

无法 exec 进入容器
无法使用 shell 命令
无法安装任何东西
没有用户系统（默认 root）

                    开始选择基础镜像
                          │
                          ▼
              ┌─── 是否需要调试能力？───┐
              │                        │
             是                       否
              │                        │
              ▼                        ▼
     ┌── 生产 or 开发？──┐      程序是静态编译的？│                   │           │
    开发               生产         是    否
     │                   │           │     │
     ▼                   ▼           ▼     ▼
  Ubuntu/          Alpine       Scratch  Distroless
  Debian-slim                            /Alpine

场景	推荐镜像	理由
开发调试	ubuntu / debian-slim	工具完整，便于调试
Go/Rust 生产	scratch / distroless	静态编译，最小体积
Node.js 生产	node:alpine / distroless	平衡体积和兼容性
Python 生产	python:slim / distroless	slim 版本够用
Java 生产	distroless/java	安全且体积小
快速原型	alpine	体积小，下载快
安全优先	distroless	最小攻击面

典型情况下的漏洞数量对比：

镜像	高危	中危	低危
ubuntu:22.04	5-15	20-40	50+
debian:bookworm	5-10	15-30	40+
alpine:3.18	0-3	5-10	10-20
distroless	0-1	0-5	5-10

越小的镜像，潜在漏洞越少！

# 1. 使用特定版本标签（不用 latest）FROM alpine:3.18.4

# 2. 使用非 root 用户
RUN adduser -D -u 1000 appuser
USER appuser

# 3. 只复制必要文件
COPY --chown=appuser:appuser ./app /app

# 4. 设置只读文件系统（运行时）# docker run --read-only myapp

以一个简单的 Go Web 服务为例：

基础镜像	最终大小	构建时间	漏洞数
golang:1.21	1.2GB	基准	高
ubuntu:22.04	85MB	+10s	中
alpine:3.18	15MB	+5s	低
distroless/static	8MB	+2s	极低
scratch	6MB	基准	零

A：现代应用通常没问题。以下情况需注意：

依赖 glibc 特性的 C 扩展
某些性能敏感的数值计算
DNS 解析的边缘情况

A：

# 方案 1：使用 debug 变体
FROM gcr.io/distroless/static:debug

# 方案 2：使用 ephemeral container (K8s)
kubectl debug -it podname --image=busybox

A：

FROM builder AS builder
# ...

FROM scratch
# 复制时区文件
COPY --from=builder /usr/share/zoneinfo /usr/share/zoneinfo
ENV TZ=Asia/Shanghai

镜像选择原则 ：
- 开发用完整镜像
- 生产用精简镜像
- 安全敏感用 Distroless
各镜像特点 ：
- Ubuntu/Debian：完整但大
- Alpine：小但有兼容性问题
- Distroless：安全但无法调试
- Scratch：最小但限制最多
安全优先 ：
- 镜像越小，攻击面越小
- 始终使用非 root 用户
- 使用固定版本标签