Linter de Dockerfile

DL3008 diz que uma linha apt-get install cita pacotes sem versão, então cada build pode instalar algo diferente. Escreva pacote=versão, como curl=7.88.1-10+deb12u5, e descubra a versão atual com apt-cache policy curl dentro da imagem base. Fixar versões torna a imagem reproduzível; atualize as versões de propósito, não por acidente.

Um contêiner que roda como root tem direitos de root dentro dele, então um invasor que entre na aplicação pode fazer mais, e um erro em um volume montado pode alterar arquivos do host. Crie um usuário em um RUN, como useradd app, e termine o estágio com USER app. As etapas de build anteriores ainda podem rodar como root.

Cada RUN cria uma camada, e um arquivo removido em uma camada posterior ainda ocupa espaço na anterior. O apt-get update baixa listas de pacotes de dezenas de megabytes, então remova-as no mesmo RUN com && rm -rf /var/lib/apt/lists/*. Removê-las em um RUN separado não economiza nada.

Escreva um comentário logo acima da instrução: # hadolint ignore=DL3008, ou vários códigos separados por vírgulas. Para desligar uma regra no arquivo inteiro, escreva # hadolint global ignore=DL3059 em qualquer lugar. Os dois funcionam no próprio hadolint e nesta página, e o resumo conta o que foi desligado.

Para as regras de Dockerfile, sim: os 55 códigos DL, seus níveis e suas condições seguem o hadolint 2.12, e os testes comparam com o programa hadolint real em mais de 80 arquivos. Não estão incluídos os avisos SC do ShellCheck sobre o código de shell dentro das linhas RUN, nem as regras que precisam de um arquivo de configuração, como registries permitidos.

Use COPY para arquivos e pastas. O ADD também baixa URLs e descompacta arquivos tar locais, o que é útil quando você quer exatamente isso e surpreendente quando não quer. O hadolint aponta ADD para um arquivo simples como DL3020, e um COPY seguido de tar -x do mesmo arquivo como DL3010, em que o ADD faria isso em um passo.