Docker Hardened Images免费开放事件 - 2025年12月18日，Docker公司宣布将其主打安全与精简的Docker Hardened Images强化镜像目录免费开放给所有用户使用，该产品此前于2025年5月以商业付费形式推出[3] - 此举旨在帮助开发者抵御供应链攻击，但企业级高级功能仍需订阅付费[3] 产品服务模式 - 免费提供的强化镜像包含完整的软件物料清单，并通过常见漏洞和暴露数据进行安全评估，采用Apache 2.0许可证[5] - 企业用户若需使用符合联邦信息处理标准和国防部安全技术实施指南的合规支持、定制化服务以及7天内的关键漏洞修复服务，则需购买企业许可证[5] - 在商业场景中使用该服务可能需要一定级别的Docker订阅支持，因为使用需要登录账号，且部分配套工具依赖Docker Desktop[9] 产品技术特点与挑战 - 强化镜像基于Alpine或Debian Linux构建，通常不包含shell、无包管理器，并以非root用户身份运行，这种极简设计意味着从普通镜像迁移需要对现有工作流进行调整[7] - 例如，PHP的强化镜像仅包含最基础的软件包，若需添加更多包，需使用该镜像的-dev版本完成安装，再将生成的文件复制到运行时镜像中[7] - 镜像的修改可能会降低其安全性，需借助Docker Scout、Trivy、Grype等扫描工具检查最终构建镜像的安全性[7] - 由于镜像中没有shell，调试工作可能需要借助Docker Debug等工具，而该工具需要依赖Docker Desktop，在大多数商业场景中使用Docker Desktop需要订阅付费[7] - 相比通用镜像，强化镜像体积更小、安全性更高，Docker声称其攻击面最多可减少95%[8] 市场反应与行业背景 - 开发者对免费开放的初步反应较为积极，但鉴于Docker过往缩减免费服务、推广订阅制的历史，不少人对未来政策持谨慎态度[9] - 有观点类比Docker过往的镜像仓库和Docker Desktop服务，担忧其免费政策可能生变[9] - 2025年早些时候，VMWare旗下的Bitnami曾撤回其免费的公共镜像目录，随后建议用户转而订阅其付费的Bitnami Secure Images，年费高达5万美元及以上[9] - Docker方面回应称，免费模式具备可持续性，原因在于将需要持续投入大量成本的企业级服务作为付费服务保留，才能为整个社区提供免费的强化镜像目录[9] - 容器安全问题日益受到重视，随着供应链攻击频发，具备完整安全审计能力的容器镜像成为企业刚需，而软件物料清单和常见漏洞和暴露漏洞检测已成为衡量镜像安全性的核心标准[10] - Docker此次将核心安全工具免费开放，既是应对市场竞争的举措，也是吸引开发者生态的策略[10]