在FROM scratch极简Docker镜像中复制OS元数据的问题排查

问题背景与复现 #

容器镜像若缺少OS发行版或包元数据，Trivy这类漏洞扫描器就无法检测其中的漏洞。尝试用FROM scratch构建轻量镜像时添加这些信息，却遇到异常：

• 单独复制/etc/os-release时，扫描器能正常识别OS；
• 加上复制包元数据的COPY命令后，扫描器就无法识别OS了。

复现用的Dockerfile：

FROM arm64v8/debian:9.8-slim as base

FROM scratch
COPY --from=base /var/lib/dpkg/status /var/lib/dpkg/status
COPY --from=base /etc/os-release /etc/os-release

后续测试发现 #

测试不同发行版后，发现仅当镜像的OS发行版和包信息与宿主机匹配时才会出现此问题：

• 用alpine:latest并复制/etc/alpine-release时，Trivy能正常检测到文件；
• 用ubuntu:latest并复制/etc/os-release时，Trivy无法识别OS，怀疑是Docker挂载卷覆盖了这些路径。

原因推测与解决建议 #

核心原因 #

当宿主机与镜像使用同一款发行版时，Trivy扫描过程中可能会优先读取宿主机隐式挂载到容器的相关文件（比如部分场景下Docker会挂载宿主机的/etc目录或特定文件），而非镜像本身的文件。复制包元数据的操作可能触发了Trivy的宿主机文件优先级逻辑，导致原本能识别的镜像内os-release被宿主机文件覆盖。

可行的解决办法 #

• 调整COPY顺序：先复制os-release再复制包元数据，尝试改变文件写入顺序对扫描逻辑的影响：

FROM arm64v8/debian:9.8-slim as base

FROM scratch
COPY --from=base /etc/os-release /etc/os-release
COPY --from=base /var/lib/dpkg/status /var/lib/dpkg/status

• 修改文件存储路径：把os-release复制到非标准路径，扫描时通过环境变量指定Trivy读取该路径：

FROM arm64v8/debian:9.8-slim as base

FROM scratch
COPY --from=base /var/lib/dpkg/status /var/lib/dpkg/status
COPY --from=base /etc/os-release /custom/etc/os-release

扫描命令示例：trivy image --env OS_RELEASE_PATH=/custom/etc/os-release <你的镜像名>

• 禁用宿主机挂载：如果Trivy支持，扫描时添加--no-mount参数，强制扫描器仅读取镜像内的文件，避免宿主机文件干扰。

内容的提问来源于stack exchange，提问作者joshduffney