如何在不开放代码访问权限的前提下向第三方共享Docker镜像或容器

• 镜像扁平化能力：可以通过docker build --squash参数，或者docker export <容器ID> | docker import - 新镜像名的组合操作，把包含构建历史的多层镜像合并为单一层，彻底抹除docker history可查询的构建步骤、各分层中残留的源码副本、Dockerfile指令痕迹，避免第三方通过分层提取拿到源码。
• 运行时只读限制：交付镜像时可以明确告知运行命令需添加--read-only参数，强制容器根文件系统为只读状态，既可以防止第三方进入容器后修改、导出内部的可执行文件，也能避免临时写入的文件泄露代码相关信息。
• 交互权限封禁：禁止给容器分配交互式终端（不要添加-it启动参数），镜像内部不要预装sshd、bash等可交互登录的工具，仅暴露必要的业务服务端口，从入口处阻断第三方进入容器内部查看文件系统的路径。
• 非root权限约束：构建镜像阶段就指定普通非root用户作为默认运行用户，不要使用默认的root权限启动进程，普通用户默认没有权限读取高权限目录下的业务文件，也无法额外安装文件提取类工具破解访问限制。
• 镜像签名校验：通过Docker Content Trust（DCT）给最终交付的镜像做签名，第三方运行时开启DCT校验就只能运行你签名的正版镜像，避免第三方篡改镜像插入代码提取逻辑，也保证运行版本和你交付的版本完全一致。

补充提示：如果你的业务使用Python、Node.js等解释型语言开发，建议先将源码编译为独立二进制（可使用PyInstaller、pkg等工具）后再构建镜像，仅靠Docker能力无法阻止第三方直接拆解镜像包提取未编译的明文源码。

内容的提问来源于stack exchange，提问作者varsha