如何基于同一代码库在不同机器构建摘要一致的确定性Docker镜像？

要在不同机器上构建出digest完全一致的Docker镜像，核心是消除构建过程中的所有不确定因素，以下是具体步骤，重点解决apt-get update的确定性问题：

一、解决apt源与更新的不确定性 #

apt-get update的最大问题是源索引动态变化，以及索引文件的时间戳差异，可通过以下方式固定：

• 使用固定时间点的apt快照源：Debian/Ubuntu官方提供快照仓库，指定某个历史时间点的源，确保每次update获取的索引完全一致。例如：

  RUN echo "deb http://snapshot.debian.org/archive/debian/20240501T000000Z bookworm main" > /etc/apt/sources.list && \
      echo "deb http://snapshot.debian.org/archive/debian-security/20240501T000000Z bookworm-security main" >> /etc/apt/sources.list
  

  同时更新时需添加参数绕过过期校验：

  RUN apt-get update --allow-insecure-repositories -o Acquire::Check-Valid-Until=false && \
      # 后续安装命令
  

• 固定所有安装包的版本：避免使用无版本号的包名，明确指定具体版本号，确保安装的包完全一致。例如：

  RUN apt-get install -y --no-install-recommends nginx=1.24.0-2+deb12u1
  

• 同一RUN指令完成apt操作：将update、install、清理缓存放在同一个RUN里，避免生成多余的镜像层，同时彻底清理缓存消除差异：

  RUN apt-get update --allow-insecure-repositories -o Acquire::Check-Valid-Until=false && \
      apt-get install -y --no-install-recommends nginx=1.24.0-2+deb12u1 && \
      apt-get clean && \
      rm -rf /var/lib/apt/lists/*
  

二、其他关键确定性配置 #

• 使用固定版本的基础镜像：不要用如debian:bookworm这类动态更新的标签，改用带日期或具体版本的固定镜像，例如：

  FROM debian:bookworm-20240507
  

• 消除构建时间戳差异：构建时传入固定的构建时间参数，避免镜像层因时间戳不同产生差异：

  docker build --build-arg BUILD_DATE=2024-05-01T00:00:00Z --no-cache -t my-image .
  

  同时在Dockerfile中禁用交互模式，避免安装过程中的交互提示：

  ENV DEBIAN_FRONTEND=noninteractive
  

• 保证代码一致性：使用Git的commit hash同步代码，或用git archive打包代码（打包后的文件修改时间固定为commit时间），再复制到镜像中，避免本地文件修改时间不同导致的差异：

  git archive --format=tar HEAD | docker build -t my-image -
  

• 统一构建命令：所有机器使用完全相同的docker build命令，包括参数、上下文路径等，避免因命令差异导致构建结果不同。

三、验证镜像一致性 #

构建完成后，通过以下命令查看镜像的digest并对比：

# 查看镜像的digest
docker image ls --digests my-image
# 或查看详细信息中的RepoDigests字段
docker inspect --format='{{.RepoDigests}}' my-image

不同机器上构建的镜像digest完全一致，则说明镜像内容完全相同。

内容的提问来源于stack exchange，提问作者Chu