Docker中是否应为Alpine基础镜像安装软件包更新？

你之前在Ubuntu镜像中通过以下命令做安全更新：

RUN apt-get update
RUN apt-get upgrade -y

切换到Alpine镜像后考虑执行RUN apk -U upgrade来获取更新，这个思路符合安全最佳实践，但具体情况需要结合Alpine的分支维护规则说明：

是否需要执行apk -U upgrade？ #

需要，但要分分支状态：

• 对于仍在官方支持周期内的Alpine稳定分支，执行该命令能拉取对应分支的最新安全补丁和关键bug修复，这和Ubuntu的安全更新逻辑一致，是镜像构建的常规操作；
• 对于已停止支持的分支（比如你的3.14版本），该命令不会再获取到任何更新，执行与否都不会改变镜像内容。

为什么执行后没有软件包被安装？ #

两种可能：

• 你使用的Alpine 3.14基础镜像已经包含了该分支停止支持前的所有更新包，没有可升级的内容；
• 此时3.14分支已经停止官方维护，源索引不再更新，自然没有新包可安装。

Alpine 3.14分支的索引是否会更新？ #

Alpine的稳定分支发布后，不会新增功能，但会在官方支持周期内持续推送安全补丁。Alpine 3.14的支持周期已经结束（常规稳定版本支持约2年，3.14于2021年发布，2023年停止维护），所以该分支的软件源索引已经冻结，不会再有新的软件包版本推送。

额外建议 #

如果你的业务对安全合规有要求，建议切换到仍在官方支持的Alpine稳定分支（如3.19、3.20等），这些分支会持续接收安全更新，更符合Snyk提到的"使用最新基础镜像缩小攻击面"的建议。

内容的提问来源于stack exchange，提问作者Mamut