Dockerfile报DL4006警告：含管道的RUN指令前如何设置pipefail？

默认Docker的RUN指令使用/bin/sh执行命令，管道|连接的多步命令默认只会返回最后一步命令的退出码。你当前用到的curl | tar命令如果curl下载失败，只要tar命令执行正常，整行RUN就会被判定为执行成功，会构建出缺少依赖文件的错误镜像。Hadolint的DL4006规则就是提醒你开启管道失败快速退出的选项，避免这类隐患。

你使用的strimzi/kafka:0.20.1-kafka-2.6.0基础镜像包含bash，只需要在带管道的RUN指令之前添加一行SHELL配置，开启pipefail选项即可：

# 开启pipefail，管道中任意命令失败则整行RUN返回失败
SHELL ["/bin/bash", "-o", "pipefail", "-c"]

修复后完整Dockerfile #

FROM strimzi/kafka:0.20.1-kafka-2.6.0

USER root:root
RUN mkdir -p /opt/kafka/plugins/debezium
# 开启pipefail配置，适配管道命令的错误检查
SHELL ["/bin/bash", "-o", "pipefail", "-c"]
# Download, unpack, and place the debezium-connector-postgres folder into the /opt/kafka/plugins/debezium directory
RUN curl -s https://repo1.maven.org/maven2/io/debezium/debezium-connector-postgres/1.7.0.Final/debezium-connector-postgres-1.7.0.Final-plugin.tar.gz | tar xvz --transform 's/debezium-connector-postgres/debezium/' --directory /opt/kafka/plugins/
# 可选：如果后续RUN不需要pipefail，可以切回默认shell配置
SHELL ["/bin/sh", "-c"]
USER 1001

特殊场景适配 #

如果你使用的是Alpine基础镜像，默认没有bash，需要将SHELL配置改为适配ash的版本：

SHELL ["/bin/ash", "-o", "pipefail", "-c"]

临时禁用检查（不推荐） #

如果你确认不需要对这行命令做管道失败检查，可以在该行末尾添加注释跳过DL4006规则：

RUN curl -s 地址 | tar 操作 # hadolint ignore=DL4006

你可以故意将curl的下载地址写错测试：

• 未开启pipefail时，Docker构建会提示成功，但镜像内缺少对应插件文件
• 开启pipefail后，curl下载失败会直接中断构建，符合预期

内容的提问来源于stack exchange，提问作者Hongbo Miao