alpine阿尔派，hinest套料软件官网

原文链接：https://mp.weixin.qq.com/s/wW3Qaz7vERjAEHd9yzChZA

在大多数情况下，您在构建容器镜像时选择的基础镜像只是busybox、alpine 或google/distroless。这些基础镜像在云原生世界中非常流行，并广泛用于各种应用程序的容器中。

那么问题来了，为什么这些基础图像如此受欢迎呢？

首先，让我们看看这些基本图像的尺寸。

podman image ls 存储库标签镜像ID 创建大小docker.io/library/alpine 最新14119a10abf4 6 天前5.87 MBdocker.io/library/busybox 最新42b97d3c2ae9 13 天前1.46 MBgcr.io/distroless/static 最新e0851a4aa136 51 年前3. 06 可用MB 这些图像的大小非常小，几乎可以忽略不计。

Busybox 首先启动Busybox 容器并检查以下内容：

这个镜像的大小只有1.24MB，但是可以容纳大量的GNU命令。虽小，却包含了所有的内脏。我们如何做到这一点？

事实上，这都要归功于Multi-Call 二进制文件。什么是多重调用二进制文件？

Multi-Call binary，顾名思义，就是多次调用二进制文件，是用C编写的程序，可以多次调用并执行一个二进制文件。它包含许多函数，每个函数执行特定的操作并且可以通过名称调用。这也是Multi-Call 二进制文件的符号链接。多呼叫二进制文件的最佳应用程序是Busybox。

Busybox 函数可以通过两种方式调用。

Busybox lsls 示例：

所有二进制文件都具有相同的属性，例如大小和日期，因此很明显它们不是我们所知道的GNU 二进制文件。这些不是独立的二进制文件，而是多重调用二进制文件中每个调用函数的别名。这个多路调用二进制文件称为busybox。

不幸的是，这些Busybox命令并不完全等同于GNU命令，有些命令的某些参数无法执行，相当于阉割版。

看完Alpine Busybox，我们来看看Alpine是怎么做的。

巧合的是，Alpine二进制文件实际上指的是busybox二进制文件。这是显而易见的，因为Alpine 镜像的底层使用busybox 二进制文件。此外，Alpine还包含一个apk包管理器和一些额外的可执行文件，因此Alpine镜像大小比Busybox大。

DistrolessDistroless 当然，它来自于Google [1]。该镜像几乎是空的，只包含运行所需的应用程序及其依赖项，除了包管理器、shell、其他GNU 二进制文件，当然还有一些时区配置和一些CA 证书。

要检查此映像是否有shell 或bash，请首先将映像保存为tar 包，然后提取rootfs。

mkdir 图像 Tar F 9EC9C1755E3F.JSON2E18DE0371958329B7FA8374130E57cddf2B5A4A4988575C/Layer.tar2e2e 18DE0371958333B7FA8374130E57CC7CDDF2B5A487Fe4A498862 2CA60575C/Version2e18DE0371958329B7FA837CC7CDDF2B5A49888622C A60575C/JSONMANIFEST.JSONREPOSITORIES CD 映像 LS-LHTOTAL 3.0m-R --- R--. 1 根3.0M 1970 年1 月1 日16679402dc206c98 2b5552ab8de7d898547100e5468be29d4f67d393c0eadfdb.tardrwxr- xr-x.2 root root 50 九月3 17:42 2e18de 0371958332 9b 7fa8374130e57cc7cddf2b5a487fe4a4988622ca60575c-r--r--r--.1755e3f.json-r--r --r--.1 root root 213 1970 年1 月1 日manifest.json- r--r--r--. 1 root root 106 Jan 1 1970 存储库 mkdir rootfs tar fdb.tar -C rootfs 树rootfsrootfs bin boot devtils 等等 debian_version 默认 dpkg 起源 debian 群组 host.conf 何时 问题 issues.net nsswitch. confos-releasepasswdprofile.d协议rpc服务skelsslqu证书luxca- certificates.crt update-motd.d 10-uname Home nonroot lib procutil root run 说到 sbin sys tmp usr binwhen gamewhen include When lib os-release sbin tzconfig 分享 基础文件 dot.bashrc 你什么时候有dot.profile dot.profile.md5sums 方法？ Staff-group -for-usr-local. 该镜像只有一层，大小为3MB，不包含任何二进制文件，仅包含一些证书文件和目录。向下滚动，您还会看到许可证和时区设置。 Distroless 似乎采取了非常极端的步骤，直接销毁了所有不必要的二进制文件，留下了一个空镜像，只留下了需要的东西。

总结从这个角度来看，这些基本图像如此受欢迎的主要原因是它们的尺寸小。较小的镜像具有较少的漏洞，大大减少了攻击面，并且更易于维护。因此，在构建镜像时，请务必选择这些镜像作为基础镜像。

参考链接[1] Google: https://github.com/GoogleContainerTools/distroless