Линтер Dockerfile

DL3008 сообщает, что строка apt-get install называет пакеты без версий, поэтому каждая сборка может установить что-то другое. Пишите пакет=версия, например curl=7.88.1-10+deb12u5, а текущую версию узнайте командой apt-cache policy curl внутри базового образа. Закреплённые версии делают образ воспроизводимым; обновляйте их намеренно, а не случайно.

Контейнер, запущенный от root, имеет внутри права root, поэтому злоумышленник, проникший в приложение, может сделать больше, а ошибка в смонтированном томе может изменить файлы хоста. Создайте пользователя в RUN, например useradd app, и завершите стадию строкой USER app. Шаги сборки до этого по-прежнему могут выполняться от root.

Каждый RUN создаёт слой, и файл, удалённый в более позднем слое, всё равно занимает место в предыдущем. apt-get update загружает списки пакетов размером в десятки мегабайт, поэтому удаляйте их в том же RUN с помощью && rm -rf /var/lib/apt/lists/*. Удаление в отдельном RUN ничего не экономит.

Напишите комментарий прямо над инструкцией: # hadolint ignore=DL3008, или несколько кодов через запятую. Чтобы отключить правило для всего файла, напишите # hadolint global ignore=DL3059 в любом месте. Оба способа работают и в самом hadolint, и на этой странице, а сводка считает, что было отключено.

Для правил Dockerfile — да: 55 кодов DL, их уровни и условия следуют hadolint 2.12, а тесты сравнивают результаты с настоящей программой hadolint на более чем 80 файлах. Не включены предупреждения SC от ShellCheck о shell-коде внутри строк RUN и правила, которым нужен файл конфигурации, например разрешённые реестры.

Используйте COPY для файлов и папок. ADD также скачивает URL и распаковывает локальные tar-архивы, что полезно, когда нужно именно это, и неожиданно, когда нет. hadolint отмечает ADD для обычного файла как DL3020, а COPY, за которым следует tar -x того же архива, как DL3010 — ADD сделал бы это за один шаг.