如何指定ASP.NET Core 6 Docker镜像使用特定OS版本？

问题根源 #

微软为保障镜像安全性，会定期重新构建带有特定版本标签（如6.0.11、6.0.11-bullseye-slim-amd64）的ASP.NET Core镜像，更新底层Debian的安全补丁库。这就是你指定固定版本标签后，后续构建时底层库仍自动更新的原因——这些标签指向的镜像并非静态，会被微软持续维护更新。

解决方案 #

针对你想要基线化特定OS版本、手动处理漏洞的需求，有两种可行方案：

1. 使用镜像摘要（Digest）固定镜像

镜像摘像是唯一对应特定时刻镜像版本的哈希值，不会随微软的更新变化。指定摘要后，每次拉取的都是完全一致的镜像，底层OS库版本也会固定。

• 获取镜像摘要：
  拉取目标镜像后，通过命令查看摘要：

  docker pull mcr.microsoft.com/dotnet/aspnet:6.0.11-bullseye-slim-amd64
  docker inspect --format='{{.RepoDigests}}' mcr.microsoft.com/dotnet/aspnet:6.0.11-bullseye-slim-amd64
  

  输出会包含类似mcr.microsoft.com/dotnet/aspnet@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx的字符串，其中sha256:...即为该镜像的唯一摘要。

• 在Dockerfile中使用摘要：
  将FROM语句修改为基于摘要引用镜像：

  FROM mcr.microsoft.com/dotnet/aspnet@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx AS base
  

  后续构建时，Docker会拉取该哈希对应的固定镜像，不会自动更新底层库。

2. 手动基于特定Debian版本构建基础镜像

若需要完全控制OS版本，可以直接基于Debian的特定版本镜像，手动安装指定版本的ASP.NET Core运行时。

示例Dockerfile：

# 使用固定版本的Debian 11（bullseye）基础镜像
FROM debian:11.2-slim AS base

# 添加微软APT源
RUN apt-get update && apt-get install -y --no-install-recommends \
    wget \
    && wget https://packages.microsoft.com/config/debian/11/packages-microsoft-prod.deb -O packages-microsoft-prod.deb \
    && dpkg -i packages-microsoft-prod.deb \
    && rm packages-microsoft-prod.deb

# 安装指定版本的ASP.NET Core 6.0.11运行时
RUN apt-get update && apt-get install -y --no-install-recommends \
    aspnetcore-runtime-6.0=6.0.11-1 \
    && rm -rf /var/lib/apt/lists/*

# 设置工作目录等后续步骤
WORKDIR /app
EXPOSE 80
EXPOSE 443

这种方式完全由你控制Debian版本和.NET运行时版本，底层库不会自动更新，所有补丁需你手动通过apt-get操作。

注意事项 #

• 使用镜像摘要的方式，后续若需获取安全补丁，需手动更新摘要至微软最新发布的对应版本镜像。
• 手动构建镜像的方式需自行维护APT源和版本号，复杂度更高，但控制粒度最细。

内容的提问来源于stack exchange，提问作者remondo