Rockcraft

Distroless 的安全盲区：为什么自下而上构建容器是 OCI 镜像的下一次演进

长期以来，容器镜像要么塞进整个操作系统，体积大、漏洞多；要么用 distroless 方式拼命裁剪，可裁剪时往往把软件包的元数据也删掉了，导致 Trivy 等漏洞扫描器看不全内容，扫不出真实的漏洞，形成“看不见的安全盲区”。这篇文章提出第三条路：自下而上构建。先用 Chisel 从可信的 Ubuntu 软件包里精确切出应用真正需要的片段，再用 Rockcraft 通过一份 YAML 声明式地组装成标准 OCI 镜像，元数据全程保留，扫描器可以正常工作。作者还提到运行时要处理 PID 1 和僵尸进程的问题。读者能获得的是一种兼顾小体积与可审计性的镜像构建思路；文中描述的是开源工具和方案，具体落地效果原文未给出实测数据。