ehlxr/docker_practice
1
0
Fork 0
mirror of https://github.com/yeasy/docker_practice.git synced 2026-09-09 14:47:32 +00:00
Code Issues Projects Releases Wiki Activity
1,635 Commits 5 Branches 34 Tags
master
Commit Graph
58 Commits
Author SHA1 Message Date
yeasy 90536e9b85 fix(一致性): 两处相互冲突的建议，其一会让读者悄悄失去本书推荐的默认后端 
- 18.1 完整演示了如何开启 `userns-remap`，全程没有任何代价提示。但官方文档
  明写「The containerd image store is not available when using user namespace
  remapping」，而本书基线是 Docker Engine v29.x——该版本新装默认就是
  containerd image store，12.4 节还把它标为「强烈推荐（现代默认）」。照 18.1
  做完，读者会在毫不知情的情况下退回旧存储后端，失去 OCI image index、多架构
  镜像与构建溯源。补上这条互斥关系并交叉引用 12.4。
- 5 章说「生产环境建议指定确切版本号（如 nginx:1.28.0）而非仅大版本号」，
  7 章说「使用主或次版本号而非完整版本号（patch）」并把 patch 版本列入
  「避免」。两条都以全书建议的口吻写成，方向正好相反。它们其实面向不同环节：
  Dockerfile 的**基础镜像**用主/次版本号，才能在重新构建时自动带上安全补丁；
  **部署**一个服务镜像则应钉死确切版本，让部署可复现、升级是显式动作。
  两处各补一句限定范围并互相指引，而不是删掉其中一条。
 2026-09-04 14:57:24 -07:00
yeasy ac5ec03ab5 fix(安全,版本): seccomp 示例是安全降级，另修三处凭据/暴露面与九处版本过时 
安全（四条，前三条都是书自己打自己）：

- 18.5 的自定义 seccomp 示例用 `"defaultAction": "SCMP_ACT_ALLOW"` 写了一个
  blocklist。但 `--security-opt seccomp=<file>` 是**整体替换**默认 profile
  而非叠加（官方 seccomp 文档：容器"uses the default profile unless you
  override it"），而默认 profile 恰恰是 deny-by-default 的 allowlist——本节
  第 11 行自己就这么写的。净效果是：挡住了 chmod，却把默认拦下的那 ~44 个
  高危调用（unshare / keyctl / add_key / bpf / perf_event_open / init_module
  / reboot 等）全部放行，**比不加这个参数更危险**，而读者会以为自己加固了。
  改为从官方 default.json 派生，并在示例前置醒目警告。
- 7.6 把 `docker run -e DB_PASSWORD=xxx` 标成「✅ 正确」。它只是把泄漏路径
  从镜像换到了别处：进 shell history、进宿主机进程 argv（同机任何用户 ps
  可见）、并永久固化在 `docker inspect` 的 Config.Env 里。而本书 11.8:102
  明写「不要把数据库密码写入 compose.yaml、.env、**命令行** 或 Git」，
  16.3:251 也要求「避免把真实口令写入命令历史」。改为标注 -e 的泄漏面，
  并给出 --env-file / Compose secrets 的正确做法。
- 6.2 教读者起一个**无认证、无 TLS** 的 registry，且引导把它绑到内网地址、
  开 insecure-registries，全节零安全提示。同网段任意主机可匿名 push，即
  镜像投毒。而 18.3:17 用最强语气写着「绝不能在没有任何安全控制的情况下
  强行开启」。示例改为绑 127.0.0.1，并在两处补上风险说明与指向 6.3 的出口。
- 18.6 的 CI 示例里，Trivy 那条注释写着「务必使用不可变的 commit SHA 引用，
  而非可变标签」（引的是 2026-03-19 Trivy Actions 76 个 tag 被劫持事件），
  可同一 workflow 里另外九条 uses 全是可变标签，包括持有凭据的
  docker/login-action。补一段说明点破这一点。（本仓库自己的
  .github/workflows/ 确实全部按 SHA 钉死，已实测确认后才写进书里。）

版本时效（对 GitHub releases / endoflife.date / docs.docker.com 逐条核实）：

- 5.1 与 6.3 说 `ubuntu:24.04`「是最新 LTS」——最新 LTS 已是 26.04
  （2026-04-23 发布）；而本书 3.1 早就列出了 26.04，属书内不一致。更糟的是
  5.1 建议可替换为 `ubuntu:20.04`，而 3.1:33 正警告 20.04 已不在支持列表。
- 3.1 的支持列表里的 Ubuntu 25.10 已被 Docker 官方安装文档移除（该版本本身
  也已于 2026-07-01 EOL），删去。
- 4.6 拿 `alpine:3.20` 当"锁定版本以确保可重现性"的范例，而 3.20 已于
  2026-04 EOL；改为 3.24。
- 3.2 的「Debian Bullseye 11 将于 2026 年 8 月底结束长期支持」时态已过期。
- kind v0.31.0 → v0.33.0（落后两个小版本）；etcd v3.5.29 → v3.5.33。
- 10_buildx/README 推荐「Docker v28 及以上」，而紧接着的段落就在用
  「自 Docker Engine 29 起」立论；改为 v29。
 2026-09-04 14:53:09 -07:00
yeasy a780127d48 fix(用词): 「其它」统一为「其他」（34 处 / 25 文件） 
《现代汉语词典》与《中文技术文档写作风格指南》都以「其他」为规范词形；
本书基线是 90 处「其他」比 35 处「其它」，是集群里遗留最多的一本
（其余各书 0～4 处，blockchain_guide 已于 2026-08-05 统一过 47 处）。

其中 6 处在标题和目录上——`4.6 其它制作镜像的方式`、`第十七章 容器其它生态`、
`18.5 其它安全特性`——标题与 SUMMARY 条目**同批改写以保持一致**：
改动后 196 条目录名与各文件标题仍是 0 处不一致。

**`CHANGELOG.md` 里那一处刻意不动**：它是历史发布记录，改它等于改历史。

改动前后逐字符对称差：只有 34 个「它」变成「他」，无其他字符变化。
`check_project_rules` 202/202、`check_emphasis` 202/202、37 tests OK。
 2026-08-24 13:18:05 -07:00
yeasy ef2625531d style: 含中文的括号统一为全角（336 处 / 110 文件） 
全书此前是真·五五开：含中文的括号 336 处半角 : 336 处全角，而且**在同一文件
内混用**——`18_security/18.1_kernel_ns.md` 第 11/17/20 行写 `（如 runC）`，
第 31 行写 `(用户命名空间映射)`。这不是体例问题，是它自己跟自己不一致。

集群里其余 13 本都一边倒（llm_internals 5 : 1049、oc_guide 2 : 713、
forward_deployed_engineering_guide 0 : 108），blockchain_guide 已在 2026-08-05
按同一方向统一过 97 处，故取全角，而非另立新规。全角括号前后不留空格，
原先 `概念 (镜像、容器、仓库) 和` 两侧的空格一并收掉。

**纯拉丁内容的半角括号一个没动**——`新建一个层 (Layer)`、`项目 (project)`
保持原样：改动前后「半角且内容纯拉丁」的数量都是 **1163**，而「半角且含中文」
从 **336 变成 0**。

其余验证：改动前后各自抹掉全部空白与圆括号后**逐字节相同**（两侧均 19559 字符）；
左右括号总数改动前后都是 399 : 399，证明没有吞括号也没有配错对。
`check_project_rules` 202/202、`check_emphasis` 202/202、37 tests OK、
根 `format_checker` 与 `validate_codeblocks` 干净、`git diff --check` 干净。
 2026-08-24 13:13:23 -07:00
yeasy 42253fc1e8 fix(ci): 示例里的 GitHub Actions 大版本标签落后上游 
第 18、21 章的工作流示例仍用 actions/checkout@v6 与 actions/upload-artifact@v4，
而上游当前大版本分别是 v7.0.1（2026-07-20）与 v7.0.1（2026-04-10）；本仓库自己的
.github/workflows/* 早已按 SHA 钉在 v7.0.1 上，书里教的和书自己在跑的不一致。
21.2 更是同一个文件内自相矛盾：第 27/108 行写 @v6，第 59 行却钉着 v7.0.0 的 SHA。

sigstore/cosign-installer 一并从 @v3 提到 @v4.1.2：官方 v4.0.0 发布说明写明
"You must upgrade to cosign-installer v4 if you want to install Cosign v3+"，
而 18.6 手工安装那段用的是 releases/latest（今天就是 Cosign 3.x），两条路径装的
不是同一个大版本。该仓库没有可移动的 v4 标签，只能引用完整版本号，已就地加注说明。

docker/{build-push,setup-buildx,login}-action、anchore/sbom-action@v0、
github/codeql-action@v3 逐一核对后确认仍是当前受支持版本，未改动；
trivy-action 的 SHA 57a97c7e 经 GitHub API 核对确与 v0.35.0 一致，注释无误。
 2026-08-07 23:24:00 -07:00
yeasy b81816bb07 fix(content): 修正已随上游变化失效的版本事实与镜像引用 
深审发现 14 处正文与上游现状不符（另有 4 处在 .agent/ 本地记忆，不入库）。
全部经官方一手源核验，并由独立复核者逐条尝试证伪后保留。

**Docker Content Trust 已从 CLI 移除（本书基线正是 Engine 29.x）**
- 18.6：`docker trust`、`DOCKER_CONTENT_TRUST` 的示例此前标为“历史用法”，
  但未说明命令在 29.x 上根本不存在。Engine 29.0 release notes 原文：
  "Docker Content Trust was removed from the Docker CLI"；实测 docker/cli
  的 cli/trust 包在 v28.5.0 返回 200、v29.0.0 返回 404
- 2.3、18.6：DCT 不再是“弃用阶段、时间线待公布”——官方 retired 页已给出
  完整时间表（notary.docker.io 2026-12-08 关闭）
- 注意：`--disable-content-trust` 是 MarkDeprecated（隐藏但仍接受为 no-op），
  不是“不可用”。初版提议写成不可用，经复核纠正后才落地

**etcd 维护分支写反了**
- 15_etcd README/15.1/15.2 均称“3.5 已退出维护窗口”，但 2026-07-23 官方与
  v3.7.1、v3.6.14 同批发布了 v3.5.33，公告称三个分支均在维护；3.4 EOL 也应
  是 2026-06（v3.4.45），非 5 月

**其他上游变化**
- 17.6：containerd 首个 2.x LTS 是 2.0（2024-11-05 起），非 2.3
- 6.4：`sonatype/nexus3:3.69` 这个 tag 从不存在（Sonatype 用三段式），改 3.69.0
- appendix/repo/centos：`rockylinux` 官方镜像已冻结（最后推送 2024-05-30），
  改用官方指引的 `rockylinux/rockylinux`（2026-07-12 仍在更新）
- 6.2/6.3：docs.docker.com/registry/ 已 301 到 retired 页，改指
  distribution.github.io（实测 200）
- 6.1：`docker search centos` 的示例输出补上上游现有的 DEPRECATED 标记

**刻意未改**：`minio/minio` 虽在 Docker Hub 标记 archived，但提议替换的
quay.io/minio/minio 最新 tag 停在 2024-07-31，比 Docker Hub 的 2025-09-07
更旧，照改会把读者引向更陈旧的仓库，留待作者定夺。

验证：check_project_rules 202 文件全过、emphasis 全过、40 测试通过、format 干净。
 2026-07-28 20:12:47 -07:00
yeasy 9fdffa9d91 fix(content): harden Docker practice guide 2026-06-16 21:23:21 -07:00
yeasy 8dd6a556c8 fix(content): refresh DCT and monitoring safety guidance 2026-06-02 00:48:00 -07:00
yeasy 7f83abc53b fix(content): correct Docker Engine 29.0.0 date and align login-action version 
Docker Engine 29.0.0 was released 2025-11-10 per docs.docker.com release
notes, not 2025-11-11 (off by one day). Also bring docker/login-action
reference in 18.6 up to v4 to match the 21.2 example (v4 has been current
since 2026-03-04).
 2026-05-22 03:19:37 -07:00
yeasy ec0fa15835 docs(content): harden Kubernetes and supply-chain examples 2026-05-22 00:53:38 -07:00
yeasy 8b9e4518c8 docs(content): add Mac alternatives, K8s transition guide, CI/CD registry push example 
- Add OrbStack/Colima comparison table to Mac install chapter (3.7.4)
- Add Docker→K8s concept mapping paragraph to Ch13 intro
- Add KubeKey/RKE2 deployment tool notes to Ch14
- Add production image checklist to Dockerfile chapter summary
- Add build-and-push-to-registry workflow example to GitHub Actions section
- Expand Ch18 security summary with dimension table
 2026-05-21 21:33:58 -07:00
yeasy dae0af9ae7 fix(content): DCT expiry tense + bundle buildx --check additions 2026-05-21 20:49:42 -07:00
yeasy a3567ff6a0 docs: use digest-based cosign signing 2026-05-21 19:14:33 -07:00
yeasy 2e625a3cdf fix(content): harden install and security guidance 2026-05-21 01:23:44 -07:00
yeasy d47afa7e75 docs: harden Docker practice security examples 2026-05-20 15:58:46 -07:00
yeasy 1b651e5f8c fix(content): refresh Docker and Kubernetes guidance 2026-05-20 09:16:36 -07:00
yeasy e91fe87822 fix(content): harden kubernetes and signing examples 2026-05-20 08:49:28 -07:00
yeasy e6bf228066 docs: update image signing and login guidance 2026-05-19 15:29:26 -07:00
yeasy 0b8f6e9b60 Refresh metadata and workflows 2026-05-18 07:38:58 -07:00
yeasy 625d209fa8 Fix Docker Engine 29 release date and Rootless mode history 2026-05-02 22:26:19 +00:00
yeasy bf3107b775 Update MySQL 8.0 to 8.4 LTS, fix Trivy tag count 2026-05-02 15:22:58 +00:00
yeasy 99c56217f5 Fix Chinese curly quote direction 2026-04-29 05:21:02 +00:00
yeasy a89f7285c7 Fix typos and update Docker Hub limits and versions 2026-04-28 09:15:40 +00:00
yeasy 15c7fe1dc2 Update Docker Hub rate limits and version refs 2026-04-28 08:20:21 +00:00
yeasy 4d1e323faf Fix seccomp typo, postgres path and DCA exam details 2026-04-28 04:21:10 +00:00
yeasy e406ed9185 Update Gateway API docs and image security practices 2026-04-26 00:18:39 +00:00
yeasy c36c420c7e Add nftables support and Time namespace documentation 2026-04-26 00:18:39 +00:00
yeasy 72513eb673 更新 Namespace/Gateway API/nftables/DCT 退役时间线 
- ch12: 添加 TIME namespace (Linux 5.6+)，内核 namespace 类型从 7 更新为 8
- ch12: 补充 Docker Engine v29.x 实���性 nftables 支持
- ch13: Ingress-NGINX 退役通知，添加 Gateway API 推荐方案和示例
- ch13: 添加 Pod Security Standards 章节（替代已移除的 PSP）
- ch18: 补充 DCT 退役时间线（2028-03-31 完全移除）和迁移建议
 2026-04-26 00:12:59 +00:00
yeasy 420a5776ce Accurate cgroup v2 description, update Actions versions 2026-04-25 20:42:35 +00:00
yeasy 1e9cdeea3f Update Grafana to v13, add version notes 2026-04-25 15:50:13 +00:00
yeasy 515ba9f64a Add blank lines before lists per CommonMark 2026-04-25 15:13:27 +00:00
yeasy 839a63f5af Update versions and fix formatting issues 2026-04-25 15:10:43 +00:00
yeasy 20a3479f8a Add Docker Scout, remove deprecated type_name 2026-04-25 15:02:24 +00:00
yeasy 8093b198ce Update node-exporter to v1.11.1, fcct to butane 2026-04-25 14:58:40 +00:00
yeasy 77a537df54 Add blank lines before lists per CommonMark 2026-04-25 14:57:09 +00:00
yeasy 54a9a6e55b Add runC CVEs and AuthZ plugin guidance 2026-04-22 12:24:31 -07:00
yeasy c9c72618c3 Refresh k8s docker versions and references 2026-04-21 20:57:33 -07:00
yeasy 077e55f494 Update software versions and fix security refs 2026-04-18 19:04:14 -07:00
yeasy 3bad07c41a 更新Docker安装、镜像、Dockerfile和Compose等文档内容 2026-03-29 11:40:34 -07:00
yeasy d89da660c7 Sync SUMMARY titles and fix version 2026-03-27 10:52:57 -07:00
Baohua Yang b67d5367dc chore: update content and add generated PDF 2026-03-27 08:43:47 -07:00
yeasy 76c2ae50fe Add blank lines around headers 2026-03-24 09:27:04 -07:00
yeasy 44b1307277 Remove blank lines after code block markers 2026-03-21 22:36:09 -07:00
yeasy 370949f226 Add blank lines before headers 2026-03-21 12:57:51 -07:00
yeasy 696070cba9 Remove redundant English from headings 2026-03-16 22:34:38 -07:00
yeasy ddf6f7b2bc Fix extra space before bold text 2026-03-16 21:02:59 -07:00
yeasy b9c63a5133 Polish Docker workflow formatting 2026-03-16 00:32:49 -07:00
yeasy a16e0879c0 Improve READMEs and add contribution prompts 2026-03-09 20:04:21 -07:00
yeasy 6103777307 Upgrade GitHub Actions and Cosign in security docs 2026-03-09 20:04:16 -07:00
baohua 20a69d1662 Fix typography 2026-03-09 20:04:13 -07:00