网安加·百家讲坛 | 肖文棣：Java加壳，脱壳与实践

作者简介：肖文棣，OWASP中国广东分会负责人、网安加社区特聘专家，现任某外企安全架构师，负责应用安全设计、管理和评审等工作。

容器安全一般包括镜像的安全以及运行时安全，这次我们重点研究一下镜像的安全。最近我一直在研究这个问题，并且针对一些工具进行了一些测试。容器镜像作为容器化技术的核心组成部分，其安全性直接关系到整个系统的稳定运行。本文将深入探讨容器镜像的分层原理，并介绍使用各种开源工具对容器镜像进行扫描的实践。

容器镜像介绍和分层

Docke镜像是一个轻量级、独立的、可执行的软件包，用于打包软件运行环境和基于该环境开发的软件。Docker镜像包含运行某个软件所需的所有内容，包括代码、运行时、库、环境变量和配置文件。镜像一旦构建完成，就是只读的，任何对镜像的更改都会创建一个新的镜像。

在Docker中，镜像扮演着非常重要的角色，是容器运行的基础。用户可以从Docker Hub或其他镜像仓库中拉取所需的镜像，也可以自己制作镜像并推送到仓库中共享。用户可以通过Docker Build命令根据Dockerfile编译出来容器镜像，同时可以使用Docker Save命令导出为Tar文件。

Docker镜像在设计之初就考虑了分层了。Docker镜像的分层原理是其实现高效的关键之一。这种机