如何创建含gosec与govulncheck的Docker容器？解决启动报错

你的错误有两个核心原因：

• CMD格式错误：使用exec格式（方括号）时，不能把命令和参数写在同一个字符串里，Docker会把整个"gosec ./..."当作单个可执行文件去查找，自然找不到。
• 工具路径未加入PATH：go install安装的二进制文件默认放在/go/bin目录，但这个路径不在Alpine容器的默认PATH中，导致直接输入gosec无法找到命令。

修正后的Dockerfile #

# syntax=docker/dockerfile:1
FROM golang:1.19-alpine

WORKDIR /app
ENV GO111MODULE=on
# 将go install的输出目录加入PATH
ENV PATH="/go/bin:${PATH}"

# 复制代码依赖与文件
COPY go.mod ./
COPY go.sum ./
RUN go mod download
COPY *.go ./

# 若不需要运行编译后的程序，可删除以下两行
RUN go build -o /docker-gs-ping
EXPOSE 8080

# 安装依赖与安全检查工具
RUN apk add --no-cache git
RUN go install github.com/securego/gosec/v2/cmd/gosec@latest
RUN go install golang.org/x/vuln/cmd/govulncheck@latest

# 修正CMD格式：命令与参数分开
CMD [ "gosec", "./..." ]

关键修改说明 #

1. 添加PATH环境变量：通过ENV PATH="/go/bin:${PATH}"将go install的输出目录加入系统路径，确保gosec和govulncheck可以直接被调用。
2. 修正CMD格式：把["gosec ./..."]拆分为["gosec", "./..."]，让Docker正确识别命令和参数。
3. 可选优化：如果你的容器仅用于代码安全检查，不需要运行编译后的docker-gs-ping程序，可以删除RUN go build和EXPOSE 8080这两行，减少镜像体积。

验证运行 #

构建镜像并运行容器，现在应该能正常执行gosec代码检查：

docker build -t go-sec-check .
docker run --rm go-sec-check

内容的提问来源于stack exchange，提问作者asymmetriq