hadolint

Dockerfile 静态检查工具

补充说明

hadolint 检查 Dockerfile 的最佳实践和常见错误，内置 ShellCheck 检查 RUN 中的 shell 片段。它只分析 Dockerfile，不分析构建出的镜像。

常用示例

hadolint Dockerfile
hadolint --format json Dockerfile
hadolint --failure-threshold warning Dockerfile
hadolint --ignore DL3008 Dockerfile
hadolint --config .hadolint.yaml Dockerfile

.hadolint.yaml：

failure-threshold: warning
ignored:
  - DL3008
  - DL3013
trustedRegistries:
  - docker.io
  - registry.example.com

易错点与排错

• 它不检查镜像内容、漏洞或运行时配置；别把它当安全扫描器。
• 规则编号和默认严重级别随版本变化；CI 固定版本。
• --failure-threshold 决定退出码；不设置可能只警告不失败。
• --ignore 要写清原因，不要为了过 CI 全量忽略。
• 多阶段构建的每个 FROM 都会检查；基础镜像也要固定 digest。
• RUN 里的 shell 片段由 ShellCheck 检查，复杂脚本建议拆成文件。
• 配置文件路径和项目根目录要明确；CI 里用绝对路径或 --config。

相关命令

• docker-buildx — 构建镜像
• grype — 镜像漏洞扫描
• dive — 镜像层分析