如何自动更新Dockerfile中基础镜像的版本与摘要？（GitHub场景）

现成自动化工具推荐 #

• Dependabot：GitHub官方自带的工具，完美适配你的场景。只需在项目根目录下创建.github/dependabot.yml配置文件，指定Docker镜像的更新规则，它会按照你设定的频率（比如每周）自动扫描Dockerfile中的镜像，匹配同系列的最高兼容版本（比如Golang 1.21.x的最新版、对应Alpine 3.18.x的最新版），同时更新版本标签和固定的摘要，最后自动生成PR。
  配置示例：

  version: 2
  updates:
    - package-ecosystem: "docker"
      directory: "/"
      schedule:
        interval: "weekly"
      target-branch: "main"
      open-pull-requests-limit: 1
  

• Renovate：社区维护的工具，比Dependabot支持更细粒度的版本控制规则，比如可以强制锁定Golang镜像的Alpine版本和最终发布镜像的Alpine主版本一致。同样通过配置文件触发每周扫描，自动生成更新PR。

自定义GitHub Action实现（适用于定制化需求） #

如果现成工具满足不了特殊的版本匹配逻辑，可以自己编写GitHub Action：

• 通过Docker Hub API或docker manifest inspect命令，获取指定系列镜像的最新版本和对应摘要。
• 用sed/awk命令或者actions/github-script脚本，修改Dockerfile中对应的镜像行。
• 借助peter-evans/create-pull-request Action，自动提交修改并创建PR。

核心Workflow步骤示例：

1. 用schedule事件设置每周定时触发。
2. 拉取代码仓库。
3. 获取Golang 1.21系列对应Alpine 3.18的最新镜像版本及摘要。
4. 获取Alpine 3.18系列的最新版本及摘要。
5. 替换Dockerfile中的镜像配置。
6. 提交修改并创建PR。

关键注意事项 #

• 务必保证Golang编译镜像的Alpine版本和最终发布镜像的Alpine版本兼容（比如都基于3.18系列），Dependabot和Renovate都能配置版本匹配规则避免不兼容更新。
• 建议开启PR的自动测试流程，确保更新镜像后项目能正常编译和运行。

内容的提问来源于stack exchange，提问作者RichardoC