Dockerfile的ADD指令实现远程文件的安全校验下载_Docker

不能通过 add 指令实现远程文件的安全校验下载。

因为自 docker 17.05+ 起，add 对远程 url 的支持已被彻底移除。任何形如 add https://example.com/file.tar.gz /app/ 的写法都会在构建时直接报错：

add does not support remote urls

这不是配置问题，而是 docker 官方为保障构建可重现性、缓存一致性与安全性所作的强制限制。

所以，“用 add 实现安全校验下载”这一前提本身不成立——add 既无法下载，也不提供校验能力（无哈希验证、无签名检查、无证书校验、无权限控制）。

真正可行且推荐的做法是：放弃 add 下载，改用 run + curl/wget 显式下载 + 校验 + 清理。

✅ 安全校验下载的正确写法（推荐）

使用 curl 下载并校验 sha256

run set -eux; \
    curl -fssl "https://example.com/app-v2.1.0.tar.gz" -o /tmp/app.tar.gz; \
    echo "a1b2c3d4...  /tmp/app.tar.gz" | sha256sum -c -; \
    tar -xzf /tmp/app.tar.gz -c /usr/local/; \
    rm -f /tmp/app.tar.gz

set -eux：任一命令失败即中断，避免错误静默继续
curl -fssl：静默失败、跟随重定向、启用 ssl
sha256sum -c -：从标准输入读取校验行并验证
rm -f：立即清理临时文件，不增大镜像体积

需要 pgp 签名验证时（更高安全等级）

run set -eux; \
    curl -fssl "https://example.com/app.tar.gz" -o /tmp/app.tar.gz; \
    curl -fssl "https://example.com/app.tar.gz.asc" -o /tmp/app.tar.gz.asc; \
    gpg --no-default-keyring --keyring /tmp/pubring.gpg --import trusted-key.pub; \
    gpg --no-default-keyring --keyring /tmp/pubring.gpg --verify /tmp/app.tar.gz.asc /tmp/app.tar.gz; \
    tar -xzf /tmp/app.tar.gz -c /app/; \
    rm -f /tmp/app.tar.gz /tmp/app.tar.gz.asc /tmp/pubring.gpg

⚠️ 注意：需提前将可信公钥（trusted-key.pub）放入构建上下文，或通过 buildkit --secret 安全挂载。

✅ 更安全的进阶实践

多阶段构建：隔离下载与运行环境

# 构建阶段：下载、校验、解压、安装
from alpine:latest as builder
run apk add --no-cache curl gnupg tar && \
    curl -fssl https://example.com/binary -o /tmp/tool && \
    echo "d4e5f6... /tmp/tool" | sha256sum -c - && \
    chmod +x /tmp/tool && \
    mv /tmp/tool /usr/local/bin/tool
# 运行阶段：零工具、零临时文件、最小攻击面
from alpine:latest
copy --from=builder /usr/local/bin/tool /usr/local/bin/tool
cmd ["tool"]

敏感资源（含 token、私有地址）必须用 buildkit secret

# 启用方式：docker_buildkit=1 docker build --secret id=mytoken,src=./token.txt .
run --mount=type=secret,id=mytoken \
    curl -h "authorization: bearer $(cat /run/secrets/mytoken)" \
         -fssl https://internal.example.com/secret.bin > /tmp/secret.bin