broadsage/alpine

docker-alpine

Alpine Linux的官方Docker镜像。该镜像仅5MB大小，且拥有比其他基于BusyBox的镜像更丰富的包仓库。

为什么选择Alpine

如今的Docker镜像通常体积过大，超出实际需求。虽然有多种方法可以减小镜像大小，但Docker用户仍倾向于为大多数项目选择ubuntu作为基础镜像。与ubuntu及其他基础镜像相比，Alpine的体积优势极为显著：

text
REPOSITORY  TAG     IMAGE ID      CREATED      SIZE
alpine      latest  961769676411  4周前        5.58MB
ubuntu      latest  2ca708c1c9cc  2天前        64.2MB
debian      latest  c2c03a296d23  9天前        114MB
centos      latest  67fa590cfc1c  4周前        202MB

有些镜像如progrium/busybox能提供接近最小化的容器和包系统，但这些特定的BusyBox构建依赖OpenWRT包索引，往往功能不足且未针对通用日常应用进行优化。Alpine Linux拥有更丰富且更新及时的https://pkgs.alpinelinux.org%EF%BC%9A

bash
$ docker run progrium/busybox opkg-install nodejs
Unknown package 'nodejs'.
Collected errors:
 * opkg_install_cmd: Cannot install package nodejs.

$ docker run alpine apk add --no-cache nodejs
fetch http://dl-cdn.alpinelinux.org/alpine/v3.9/main/x86_64/APKINDEX.tar.gz
fetch http://dl-cdn.alpinelinux.org/alpine/v3.9/community/x86_64/APKINDEX.tar.gz
(1/7) Installing ca-certificates (20190108-r0)
(2/7) Installing c-ares (1.15.0-r0)
(3/7) Installing libgcc (8.3.0-r0)
(4/7) Installing http-parser (2.8.1-r0)
(5/7) Installing libstdc++ (8.3.0-r0)
(6/7) Installing libuv (1.23.2-r0)
(7/7) Installing nodejs (10.14.2-r0)
Executing busybox-1.29.3-r10.trigger
Executing ca-certificates-20190108-r0.trigger
OK: 31 MiB in 21 packages

这使得Alpine Linux成为工具类应用和生产环境应用的理想基础镜像。https://www.alpinelinux.org/about/%EF%BC%8C%E4%BD%A0%E4%BC%9A%E5%8F%91%E7%8E%B0%E5%AE%83%E7%9A%84%E7%90%86%E5%BF%B5%E4%B8%8EDocker%E9%95%9C%E5%83%8F%E7%9A%84%E9%9C%80%E6%B1%82%E9%AB%98%E5%BA%A6%E5%A5%91%E5%90%88%E3%80%82

注意：上述所有示例输出的最后生成/更新日期为2019年5月3日。

使用方法

停止这样做：

dockerfile
FROM docker.xuanyuan.run/ubuntu:22.04
RUN apt-get update -q \
  && DEBIAN_FRONTEND=noninteractive apt-get install -qy mysql-client \
  && apt-get clean \
  && rm -rf /var/lib/apt
ENTRYPOINT ["mysql"]

这需要28秒构建，生成169 MB的镜像。

开始这样做：

dockerfile
FROM docker.xuanyuan.run/alpine:3.16
RUN apk add --no-cache mysql-client
ENTRYPOINT ["mysql"]

仅需4秒构建，结果是41 MB的镜像！

快速开始

基本示例

运行命令：

bash
docker run docker.xuanyuan.run/alpine:latest echo "Hello from Alpine!"

交互式shell：

bash
docker run -it docker.xuanyuan.run/alpine:latest /bin/sh

安装软件包：

bash
docker run docker.xuanyuan.run/alpine:latest apk add --no-cache curl

简单Dockerfile示例

dockerfile
FROM docker.xuanyuan.run/alpine:3.22
RUN apk add --no-cache nginx
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

💡 有关生产环境示例、最佳实践和高级用法，请参见docs/usage.md

从Ubuntu/Debian迁移

关键差异：

常见包映射：

快速转换：

dockerfile
# 之前（Ubuntu）
FROM docker.xuanyuan.run/ubuntu:22.04
RUN apt-get update && apt-get install -y python3 python3-pip

# 之后（Alpine）
FROM docker.xuanyuan.run/alpine:3.22
RUN apk add --no-cache python3 py3-pip

📚 有关详细迁移指南和故障排除，请参见docs/usage.md和docs/caveats.md

安全特性

此仓库中的所有镜像均采用企业级安全特性构建：

🔒 镜像签名与证明

镜像使用特定于 registry 的最佳实践进行签名和证明：

对于GHCR (ghcr.io)：GitHub原生证明
对于DockerHub (docker.io)：Sigstore Cosign签名

验证GHCR镜像（推荐）

bash
# 安装GitHub CLI（如果尚未安装）
# macOS: brew install gh
# Linux: 参见 https://github.com/cli/cli#installation

# 使用GitHub证明验证GHCR镜像
gh attestation verify oci://ghcr.io/broadsage/alpine:3.22 --owner broadsage

# 查看详细的来源和SBOM
gh attestation verify oci://ghcr.io/broadsage/alpine:3.22 \
  --owner broadsage \
  --format json | jq

验证DockerHub镜像

bash
# 安装cosign（如果尚未安装）
# macOS: brew install cosign
# Linux: 参见 https://docs.sigstore.dev/cosign/installation/

# 验证DockerHub镜像签名
cosign verify \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22

📋 软件物料清单（SBOM）

每个镜像均包含SPDX格式的软件物料清单，提供所有包和依赖项的完整透明度。

查看GHCR镜像的SBOM

bash
# GHCR：SBOM包含在GitHub证明中
gh attestation verify oci://ghcr.io/broadsage/alpine:3.22 \
  --owner broadsage \
  --format json | jq '.verificationResult.statement.predicate'

查看DockerHub镜像的SBOM

bash
# DockerHub：SBOM作为Cosign证明附加
cosign verify-attestation \
  --type spdxjson \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22 | jq -r '.payload' | base64 -d | jq

🏗️ 构建来源（SLSA）

所有镜像均包含SLSA v1.0构建来源证明，提供有关镜像构建方式的可验证信息，包括：

• 构建过程详情
• 源代码仓库和提交
• 构建环境
• 构建参数

验证GHCR镜像的构建来源

bash
# GHCR：内置GitHub证明（推荐）
gh attestation verify oci://ghcr.io/broadsage/alpine:3.22 --owner broadsage

# 以JSON格式查看详细来源
gh attestation verify oci://ghcr.io/broadsage/alpine:3.22 \
  --owner broadsage \
  --format json | jq '.verificationResult.statement.predicate'

验证DockerHub镜像的构建来源

bash
# 验证来源证明签名
cosign verify-attestation \
  --type https://slsa.dev/provenance/v1 \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22

# 提取并查看来源详情
cosign verify-attestation \
  --type https://slsa.dev/provenance/v1 \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22 \
  | jq -r '.payload' | base64 -d | jq '.predicate'

# 查看特定来源字段
# 构建器信息
cosign verify-attestation \
  --type https://slsa.dev/provenance/v1 \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22 \
  | jq -r '.payload' | base64 -d | jq '.predicate.runDetails.builder'

# 源代码仓库和提交
cosign verify-attestation \
  --type https://slsa.dev/provenance/v1 \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22 \
  | jq -r '.payload' | base64 -d | jq '.predicate.buildDefinition.resolvedDependencies'

# 完整构建工作流信息
cosign verify-attestation \
  --type https://slsa.dev/provenance/v1 \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22 \
  | jq -r '.payload' | base64 -d | jq '.predicate.buildDefinition.externalParameters'

一次性验证所有证明

bash
# GHCR：验证所有证明（SBOM + 来源）
gh attestation verify oci://ghcr.io/broadsage/alpine:3.22 \
  --owner broadsage

# DockerHub：列出所有证明
cosign tree docker.io/broadsage/alpine:3.22

# DockerHub：验证镜像签名
cosign verify \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22

# DockerHub：验证SBOM证明
cosign verify-attestation \
  --type spdxjson \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22

# DockerHub：验证来源证明
cosign verify-attestation \
  --type https://slsa.dev/provenance/v1 \
  --certificate-identity-regexp="https://github.com/broadsage/docker-alpine" \
  --certificate-oidc-issuer="https://token.actions.githubusercontent.com" \
  docker.io/broadsage/alpine:3.22

验证故障排除

如果验证失败，请确保：

1. Cosign已更新（v2.0+）：

   bash
   cosign version
   # 应显示v2.0.0或更高版本
   

2. 镜像标签存在：

   bash
   docker pull docker.xuanyuan.run/broadsage/alpine:3.22
   

3. 使用完整镜像引用：

   bash
   # ✅ 正确
   docker.io/broadsage/alpine:3.22
   
   # ❌ 不正确（缺少 registry）
   broadsage/alpine:3.22
   

4. 网络连接到Rekor透明度日志：

   bash
   curl -s https://rekor.sigstore.dev/api/v1/log | jq
   

🛡️ 漏洞扫描（Snyk）

所有镜像均使用https://snyk.io/product/container-vulnerability-management/%E8%BF%9B%E8%A1%8C%E5%AE%89%E5%85%A8%E6%BC%8F%E6%B4%9E%E6%89%AB%E6%8F%8F%EF%BC%8C%E9%87%87%E7%94%A8%E4%BC%81%E4%B8%9A%E7%BA%A7%E6%BC%8F%E6%B4%9E%E6%A3%80%E6%B5%8B%E3%80%82

查看安全发现：

bash
# 检查GitHub安全选项卡获取漏洞报告
# https://github.com/broadsage/docker-alpine/security/code-scanning

Snyk扫描提供：

• OS包漏洞检测
• 高严重性阈值执行
• 自动安全警报
• 与GitHub安全选项卡集成
• 优先修复指导

✅ 供应链安全

• 镜像签名：
  • GHCR：GitHub原生证明（零配置，UI集成）
  • DockerHub：Sigstore/Cosign签名（行业标准）
• SBOM生成：完整软件物料清单（SPDX格式）
• 构建来源：SLSA证明确保构建透明度
• 漏洞扫描：Snyk企业扫描与SARIF报告
• 固定依赖项：所有GitHub Actions固定到特定SHA256哈希
• 强化运行器：使用Step Security进行网络出口审计
• 自动更新：Dependabot保持依赖项最新
• 安全扫描：OpenSSF Scorecard和依赖项审查
• 清洁构建过程：从官方Alpine minirootfs进行可重现构建

🏗️ 多架构支持

镜像原生支持8种架构：

• linux/amd64（x86_64）
• linux/arm64（aarch64）
• linux/arm/v7（armv7）
• linux/arm/v6（armhf）
• linux/386（x86）
• linux/ppc64le
• linux/s390x
• linux/riscv64

Docker会自动为你的平台拉取正确的架构版本。

📦 可用标签

• latest - 最新稳定版本（当前为3.22.x）
• edge - 来自Alpine edge分支的滚动发布
• 3.22, 3.22.2 - 特定版本标签
• 3.21, 3.21.5 - 之前的稳定版本
• 3.20, 3.19 - 更旧的稳定版本

所有标签均指向多架构清单。

常见问题（FAQ）

为什么选择Alpine Linux？

体积：Alpine镜像比Ubuntu/Debian等效镜像小5-10倍（5MB vs 64MB+）
安全性：更小的***面，最少的软件包和主动安全更新
性能：更快的下载速度，更少的磁盘空间，更快的容器启动
现代化：使用musl libc、BusyBox和现代工具链

镜像更新频率如何？

镜像会自动重建：

• 每日：所有稳定版本（3.19、3.20、3.21、3.22、edge）在UTC时间凌晨3点
• Alpine发布时：当新的Alpine版本发布时
• 安全补丁：通过夜间重建在24小时内纳入

检查镜像来源以查看确切构建时间：

bash
docker inspect alpine:3.22 | jq '.[0].Created'

musl和glibc有什么区别？

Alpine使用musl libc而非glibc：

优点：

• 体积更小（~600KB vs 3MB）
• 代码库更简单（更易于安全审计）
• 符合标准
• 适用于99%的应用

缺点：

• 为glibc编译的预编译二进制文件无法工作
• 线程处理中的一些边缘情况
• 不同的DNS解析器行为

解决方案：使用Alpine软件包（已为musl编译）或从源代码编译。

我的预编译二进制文件无法工作

如果你有glibc编译的二进制文件：

选项1：使用gcompat（添加glibc兼容层）：

dockerfile
RUN apk add --no-cache gcompat

选项2：使用多