Spring Boot Gradle构建镜像时如何在推送前完成镜像校验？

嗨，这个问题我太有共鸣了——两次构建镜像不仅麻烦，还可能因为环境差异导致前后镜像不一致，白做了扫描。其实完全不用这么折腾，咱们可以通过Gradle的任务依赖机制，把构建、扫描、推送串成一条流水线，只构建一次镜像就搞定。下面给你具体的实现思路：

方案一：自定义Gradle任务链（最灵活可控） #

核心思路是：先构建镜像但不推送，接着执行扫描校验，校验通过后再触发推送动作，全程只构建一次镜像。你可以在build.gradle里这么配置：

// 配置bootBuildImage只构建镜像，不自动推送
bootBuildImage {
    imageName = "docker.example.com/library/my-app:v1"
    publish = false // 默认就是false，显式声明更清晰
}

// 注册镜像扫描任务，依赖镜像构建任务，确保先构建再扫描
tasks.register('scanDockerImage') {
    dependsOn bootBuildImage
    doLast {
        // 执行Trivy扫描，--exit-code 1表示发现高危漏洞时终止任务
        exec {
            commandLine 'trivy', 'image', 'docker.example.com/library/my-app:v1', '--exit-code', '1'
        }
        // 如果需要EOL扫描，在这里添加对应的执行命令即可
        // exec {
        //     commandLine '你的EOL扫描工具命令', '相关参数', 'docker.example.com/library/my-app:v1'
        // }
    }
}

// 注册最终的发布任务，依赖扫描任务，扫描通过才会推送
tasks.register('publishScannedImage') {
    dependsOn scanDockerImage
    doLast {
        // 复用bootBuildImage的配置来完成推送
        bootBuildImage.publish()
        // 也可以直接用docker命令推送，适合自定义推送逻辑的场景
        // exec {
        //     commandLine 'docker', 'push', 'docker.example.com/library/my-app:v1'
        // }
    }
}

配置完成后，你只需要运行一条命令：

gradle publishScannedImage

它会自动按顺序执行：构建镜像 → 扫描校验 → 推送镜像。如果扫描环节发现问题（比如Trivy检测到高危漏洞），整个任务链会直接终止，不会推送有风险的镜像，完美符合你的需求。

方案二：使用第三方Gradle扫描插件（更省心） #

如果不想自己写exec任务，也可以找一些专门的Gradle镜像扫描插件，这类插件通常能直接和bootBuildImage集成，在镜像构建完成后自动触发扫描，只有扫描通过才允许执行推送动作。不过要注意选择维护活跃、口碑好的插件，避免遇到兼容性问题。

几个实用小提示 #

• 把镜像名和版本号做成Gradle变量，比如用project.version动态设置版本，避免重复硬编码，降低维护成本。
• 确保构建环境（比如CI/CD服务器）已经安装好需要的扫描工具（如Trivy），不然任务会执行失败。
• 如果是多模块项目，要注意调整任务的依赖顺序，确保镜像构建完成后再触发扫描。

内容来源于stack exchange