首頁>JSP源碼>其他類別
下載

Haskell Dockerfile Linter

建立狀態

一個更聰明的Dockerfile林格，可幫助您構建最佳的練習Docker圖像。 Linter將Dockerfile解析為AST，並在AST之上執行規則。它站在ShellCheck的肩膀上，可以在RUN說明中提起BASH代碼。

在hadolint.github.io/hadolint上檢查在線版本螢幕截圖

目錄

  • 如何使用
  • 安裝
  • CLI
  • 配置
  • 非置殼
  • 忽略規則
    • 內聯忽略
    • 全球忽略
  • 絨毛標籤
    • 有關標籤中變量的註釋
  • 集成
  • 規則
  • 發展
    • 設定
    • 替補
    • 測試
    • ast
    • 與自定義圖書館建設
  • 替代方案

如何使用

您可以在本地運行hadolint來凸顯您的Dockerfile。 

hadolint < Dockerfile >
hadolint --ignore DL3003 --ignore DL3006 < Dockerfile > # exclude specific rules
hadolint --trusted-registry my-company.com:500 < Dockerfile > # Warn when using untrusted FROM images

Docker參加了救援，這為大多數平台上的hadolint提供了一種簡單的方法。只需將您的Dockerfile帶到docker run ： 

docker run --rm -i hadolint/hadolint < Dockerfile
# OR
docker run --rm -i ghcr.io/hadolint/hadolint < Dockerfile

或使用Podman： 

podman run --rm -i docker.io/hadolint/hadolint < Dockerfile
# OR
podman run --rm -i ghcr.io/hadolint/hadolint < Dockerfile

或使用Windows PowerShell： 

cat .Dockerfile | docker run -- rm - i hadolint / hadolint

安裝

您可以從最新版本頁面下載用於OSX，Windows和Linux的預構建二進製文件。但是，如果這對您不起作用，請回到容器（Docker）， brew或源安裝。

在OSX上，您可以使用Brew安裝hadolint 。 

brew install hadolint

在Windows上，您可以使用SCOOP安裝hadolint 。 

scoop install hadolint

在安裝了nix的發行版中，您可以使用hadolint軟件包運行臨時殼或永久安裝hadolint到您的環境中。

如前所述， hadolint可作為容器圖像提供： 

docker pull hadolint/hadolint
# OR
docker pull ghcr.io/hadolint/hadolint

如果您需要帶有外殼訪問的容器，請使用Debian或Alpine變體： 

docker pull hadolint/hadolint:latest-debian
# OR
docker pull hadolint/hadolint:latest-alpine
# OR
docker pull ghcr.io/hadolint/hadolint:latest-debian
# OR
docker pull ghcr.io/hadolint/hadolint:latest-alpine

您也可以在本地建造hadolint 。您需要Haskell和Cabal Build工具來構建二進製文件。 

git clone https://github.com/hadolint/hadolint 
  && cd hadolint 
  && cabal configure 
  && cabal build 
  && cabal install

如果要在容器中使用Hadolint的VS代碼Hadolint擴展名，則可以使用以下包裝腳本： 

 #! /bin/bash
dockerfile= " $1 "
shift
docker run --rm -i hadolint/hadolint hadolint " $@ " - < " $dockerfile "

CLI 

hadolint --help
 hadolint - Dockerfile Linter written in Haskell

Usage: hadolint [-v|--version] [-c|--config FILENAME] [DOCKERFILE...]
                [--file-path-in-report FILEPATHINREPORT] [--no-fail]
                [--no-color] [-V|--verbose] [-f|--format ARG] [--error RULECODE]
                [--warning RULECODE] [--info RULECODE] [--style RULECODE]
                [--ignore RULECODE]
                [--trusted-registry REGISTRY (e.g. docker.io)]
                [--require-label LABELSCHEMA (e.g. maintainer:text)]
                [--strict-labels] [--disable-ignore-pragma]
                [-t|--failure-threshold THRESHOLD]
  Lint Dockerfile for errors and best practices

Available options:
  -h,--help                Show this help text
  -v,--version             Show version
  -c,--config FILENAME     Path to the configuration file
  --file-path-in-report FILEPATHINREPORT
                           The file path referenced in the generated report.
                           This only applies for the 'checkstyle' format and is
                           useful when running Hadolint with Docker to set the
                           correct file path.
  --no-fail                Don't exit with a failure status code when any rule
                           is violated
  --no-color               Don't colorize output
  -V,--verbose             Enables verbose logging of hadolint's output to
                           stderr
  -f,--format ARG          The output format for the results [tty | json |
                           checkstyle | codeclimate | gitlab_codeclimate | gnu |
                           codacy | sonarqube | sarif] (default: tty)
  --error RULECODE         Make the rule `RULECODE` have the level `error`
  --warning RULECODE       Make the rule `RULECODE` have the level `warning`
  --info RULECODE          Make the rule `RULECODE` have the level `info`
  --style RULECODE         Make the rule `RULECODE` have the level `style`
  --ignore RULECODE        A rule to ignore. If present, the ignore list in the
                           config file is ignored
  --trusted-registry REGISTRY (e.g. docker.io)
                           A docker registry to allow to appear in FROM
                           instructions
  --require-label LABELSCHEMA (e.g. maintainer:text)
                           The option --require-label=label:format makes
                           Hadolint check that the label `label` conforms to
                           format requirement `format`
  --strict-labels          Do not permit labels other than specified in
                           `label-schema`
  --disable-ignore-pragma  Disable inline ignore pragmas `# hadolint
                           ignore=DLxxxx`
  -t,--failure-threshold THRESHOLD
                           Exit with failure code only when rules with a
                           severity equal to or above THRESHOLD are violated.
                           Accepted values: [error | warning | info | style |
                           ignore | none] (default: info)

配置

配置文件可以在全球或每個項目上使用。 Hadolint在以下位置查找配置文件或以此順序為特定平台的同等文件，並專門使用第一個：

  • $PWD/.hadolint.yaml
  • $XDG_CONFIG_HOME/hadolint.yaml
  • $HOME/.config/hadolint.yaml
  • $HOME/.hadolint/hadolint.yaml or $HOME/hadolint/config.yaml
  • $HOME/.hadolint.yaml

在Windows中，使用%LOCALAPPDATA%環境變量而不是XDG_CONFIG_HOME 。配置文件可以具有yaml或yml擴展名。

hadolint完整yaml配置文件架構

 failure-threshold : string               # name of threshold level (error | warning | info | style | ignore | none)
format : string                          # Output format (tty | json | checkstyle | codeclimate | gitlab_codeclimate | gnu | codacy)
ignored : [string]                       # list of rules
label-schema :                           # See Linting Labels below for specific label-schema details
  author : string                        # Your name
  contact : string                       # email address
  created : timestamp                    # rfc3339 datetime
  version : string                       # semver
  documentation : string                 # url
  git-revision : string                  # hash
  license : string                       # spdx
no-color : boolean                       # true | false
no-fail : boolean                        # true | false
override :
  error : [string]                       # list of rules
  warning : [string]                     # list of rules
  info : [string]                        # list of rules
  style : [string]                       # list of rules
strict-labels : boolean                  # true | false
disable-ignore-pragma : boolean          # true | false
trustedRegistries : string | [string]    # registry or list of registries

hadolint支持使用配置文件指定忽略規則。配置文件應為yaml格式。這是一個有效的配置文件，例如： 

 ignored :
  - DL3000
  - SC1010

此外， hadolint可以在Dockerfiles中使用不信任存儲庫的圖像時警告您，您可以將trustedRegistries鍵附加到配置文件中，如下所示： 

 ignored :
  - DL3000
  - SC1010

trustedRegistries :
  - docker.io
  - my-company.com:5000
  - " *.gcr.io "

如果要覆蓋特定規則的嚴重性，也可以做到這一點： 

 override :
  error :
    - DL3001
    - DL3002
  warning :
    - DL3042
    - DL3033
  info :
    - DL3032
  style :
    - DL3015

僅當違反嚴重程度高於閾值的規則時failure-threshold出口就會出現故障代碼（可在v2.6.0+中使用） 

 failure-threshold : info
override :
  warning :
    - DL3042
    - DL3033
  info :
    - DL3032

此外，您可以使用--config選項將自定義配置文件傳遞在命令行中的自定義配置文件

hadolint --config /path/to/config.yaml Dockerfile

要將自定義配置文件（使用相對或絕對路徑）傳遞到容器中，請使用以下命令： 

docker run --rm -i -v /your/path/to/hadolint.yaml:/.config/hadolint.yaml hadolint/hadolint < Dockerfile
# OR
docker run --rm -i -v /your/path/to/hadolint.yaml:/.config/hadolint.yaml ghcr.io/hadolint/hadolint < Dockerfile

除了配置文件外，還可以使用環境變量配置Hadolint。 

NO_COLOR=1                               # Set or unset. See https://no-color.org
HADOLINT_NOFAIL=1                        # Truthy value e.g. 1, true or yes
HADOLINT_VERBOSE=1                       # Truthy value e.g. 1, true or yes
HADOLINT_FORMAT=json                     # Output format (tty | json | checkstyle | codeclimate | gitlab_codeclimate | gnu | codacy | sarif )
HADOLINT_FAILURE_THRESHOLD=info          # threshold level (error | warning | info | style | ignore | none)
HADOLINT_OVERRIDE_ERROR=DL3010,DL3020    # comma separated list of rule codes
HADOLINT_OVERRIDE_WARNING=DL3010,DL3020  # comma separated list of rule codes
HADOLINT_OVERRIDE_INFO=DL3010,DL3020     # comma separated list of rule codes
HADOLINT_OVERRIDE_STYLE=DL3010,DL3020    # comma separated list of rule codes
HADOLINT_IGNORE=DL3010,DL3020            # comma separated list of rule codes
HADOLINT_STRICT_LABELS=1                 # Truthy value e.g. 1, true or yes
HADOLINT_DISABLE_IGNORE_PRAGMA=1         # Truthy value e.g. 1, true or yes
HADOLINT_TRUSTED_REGISTRIES=docker.io    # comma separated list of registry urls
HADOLINT_REQUIRE_LABELS=maintainer:text  # comma separated list of label schema items

非置殼

當將基本圖像與非posix shell作為默認值（例如基於Windows的圖像）時，特殊的Pragma hadolint shell可以指定基本圖像使用的外殼，因此Hadolint可以自動忽略所有特定於外殼的規則。 

 FROM mcr.microsoft.com/windows/servercore:ltsc2022
# hadolint shell=powershell
RUN Get-Process notepad | Stop-Process

忽略規則

內聯忽略

也可以通過直接在Dockerfile語句上方添加特殊評論來忽略規則，您要為其進行例外。這樣的評論看起來像# hadolint ignore=DL3001,SC1081 。例如： 

 # hadolint ignore=DL3006
FROM ubuntu

# hadolint ignore=DL3003,SC1035
RUN cd /tmp && echo "hello!"

評論“內聯”僅適用於之後的語句。

全球忽略

也可以使用全局忽略Pragma以每文件的基礎忽略規則。它的工作方式與內聯忽略一樣，除了它適用於整個文件，而不僅僅是下一行。 

 # hadolint global ignore=DL3003,DL3006,SC1035
FROM ubuntu

RUN cd /tmp && echo "foo"

絨毛標籤

Hadolint能夠檢查是否存在特定標籤並符合預定義的標籤模式。首先，必須通過命令行來定義標籤架構： 

hadolint --require-label author:text --require-label version:semver Dockerfile

或通過配置文件： 

 label-schema :
  author : text
  contact : email
  created : rfc3339
  version : semver
  documentation : url
  git-revision : hash
  license : spdx

標籤的值可以是text ， url ， semver ， hash或rfc3339 ：

模式描述
文字任何事物
RFC3339根據RFC 3339格式化的時間
SEMVER語義版本
URL RFC 3986中所述的URI
哈希短或長git
spdx SPDX許可證標識符
電子郵件符合RFC 5322的電子郵件地址

默認情況下，Hadolint忽略了標籤架構中未指定的任何標籤。要警告此類其他標籤，請使用命令行打開嚴格的標籤： 

hadolint --strict-labels --require-label version:semver Dockerfile

或配置文件： 

 strict-labels : true

當啟用嚴格的標籤，但未指定標籤模式時， hadolint會警告如果有任何標籤。

有關標籤中變量的註釋

這是一個常見的模式，可以通過使用變量在構建時間動態地填充標籤的值： 

 FROM debian:buster
ARG VERSION= "du-jour"
LABEL version= "${VERSION}"

為此，標籤架構必須將text指定為該標籤的值： 

 label-schema :
  version : text

集成

為了獲得大多數hadolint ，將其作為檢查中的檢查或編輯器或作為預先承諾的掛鉤將其集成在一起是有用的，以便在編寫碼頭時提起您的Dockerfile 。請參閱我們的集成文檔。

  • 代碼審核平台集成
  • 連續集成
  • 編輯整合
  • 版本控制集成

規則

實施規則的不完整列表。單擊錯誤代碼以獲取更多詳細信息。

  • 前綴DL的規則來自hadolint 。請查看Rules.hs查找規則的實施。

  • SC前綴的規則來自ShellCheck （僅列出了最常見的規則，更多的規則）。

如果您有一個好的規則，請創建一個問題。

規則默認嚴重性描述
DL1001忽略請避免使用內聯忽略Pragmas # hadolint ignore=DLxxxx 。
DL3000錯誤使用絕對工作迪爾。
DL3001資訊對於某些bash命令，在SSH，VIM，關閉，服務，PS，Free，Top，Top，Kill，Mount，IfConfig等碼頭容器中運行它們是沒有意義的。
DL3002警告最後一個用戶不應是根。
DL3003警告使用WorkDir切換到目錄。
DL3004錯誤不要使用sudo會導致不可預測的行為。使用像GOSU這樣的工具來強制根。
DL3006警告始終明確標記圖像的版本。
DL3007警告如果圖像將不斷更新，則使用最新方法容易出現錯誤。將版本明確地固定在發布標籤上。
DL3008警告apt-get install中的引腳版本。
DL3009資訊安裝某些內容後，刪除APT-GET列表。
DL3010資訊使用添加以將檔案提取到圖像中。
DL3011錯誤有效的UNIX端口範圍從0到65535。
DL3012錯誤多個HEALTHCHECK說明。
DL3013警告PIP中的引腳版本。
DL3014警告使用-y開關。
DL3015資訊避免通過指定--no-install-recommends來避免其他軟件包。
DL3016警告npm中的引腳版本。
DL3018警告apk add中的PIN版本。而不是apk add <package>使用apk add <package>=<version> 。
DL3019資訊使用--no-cache開關來避免使用時需要--update上升/var/cache/apk/*安裝軟件包時。
DL3020錯誤使用COPY而不是ADD文件和文件夾。
DL3021錯誤具有兩個以上參數的COPY要求最後一個參數以/結尾
DL3022警告COPY --from應引用先前定義的FROM
DL3023錯誤COPY --from不能從別名FROM引用自己的
DL3024錯誤FROM別名（舞台名稱）必須是唯一的
DL3025警告使用參數JSON符號用於CMD和入口處參數
DL3026錯誤僅在FROM image中使用允許的註冊表
DL3027警告請勿使用apt ，因為它本來是最終用戶工具，而是使用apt-get或apt-cache
DL3028警告GEM安裝中的引腳版本。而不是gem install <gem>使用gem install <gem>:<version>
DL3029警告請勿使用-platform標誌。
DL3030警告使用-y開關避免手動輸入yum install -y <package>
DL3032警告yum clean all丟失的命令。
DL3033警告用yum install -y <package>-<version>指定版本
DL3034警告zypper命令中缺少非相互作用開關： zypper install -y
DL3035警告請勿使用zypper dist-upgrade 。
DL3036警告zypper clean使用Zypper後丟失。
DL3037警告用zypper install -y <package>[=]<version>指定版本。
DL3038警告使用-y開關避免手動輸入dnf install -y <package>
DL3040警告dnf clean all丟失。
DL3041警告用dnf install -y <package>-<version>指定版本
DL3042警告避免使用pip install --no-cache-dir <package> 。
DL3043錯誤ONBUILD ，從內部ONBUILD指令內部FROM或MAINTAINER 。
DL3044錯誤請勿在定義其定義的同一ENV語句中參考環境變量。
DL3045警告COPY無WORKDIR集的相對目的地。
DL3046警告沒有標誌-l和高UID的useradd會導致過多的圖像。
DL3047資訊沒有標誌的wget --progress下載較大的文件時將導致過度膨脹的構建日誌。
DL3048風格無效標籤鍵
DL3049資訊標籤<label>缺少。
DL3050資訊存在多餘的標籤。
DL3051警告標籤<label>是空的。
DL3052警告Label <label>不是有效的URL。
DL3053警告標籤<label>不是有效的時間格式 - 必須符合RFC3339。
DL3054警告Label <label>不是有效的SPDX許可證標識符。
DL3055警告標籤<label>不是有效的git哈希。
DL3056警告Label <label>不符合語義版本。
DL3057忽略HEALTHCHECK教學缺失。
DL3058警告標籤<label>不是有效的電子郵件格式 - 必須符合RFC5322。
DL3059資訊多個連續RUN說明。考慮合併。
DL3060資訊運行yarn install後， yarn cache clean缺失。
DL3061錯誤無效的說明令。 Dockerfile必須ARG FROM評論開始。
DL4000錯誤MAINTAINER被棄用。
DL4001警告使用WGET或Curl，但不能同時使用。
DL4003警告找到了多個CMD指令。
DL4004錯誤找到多個ENTRYPOINT指令。
DL4005警告使用SHELL更改默認外殼。
DL4006警告在用管道RUN之前，請設置SHELL Option -O PipeFail
SC1000 $不是專門使用的，因此應逃脫。
SC1001在這種情況下，此c將是常規的'c' 。
SC1007在=試圖分配值（或為空字符串，使用var='' ... ）之後刪除空間。
SC1010在done之前，請使用semicolon或lineFeed（或引用將其進行字面意思）。
SC1018這是一個非破壞空間。將其刪除並重新輸入空間。
SC1035您需要在這裡一個空間
SC1045這不是foo &; bar ，只是foo & bar 。
SC1065試圖聲明參數？不。使用() ，並將參數稱為$1 ， $2等。
SC1066不要在作業的左側使用$。
SC1068不要在分配中放置=周圍的空間。
SC1077為了擴展命令，tick應向左傾斜（`vs’）。
SC1078您是否忘記關閉了這個雙重引用的字符串？
SC1079這實際上是最終報價，但由於下一個字符，它看起來令人懷疑。
SC1081腳本是案例敏感的。 if使用， If使用。
SC1083這個{/}是字面的。檢查表達式（缺少;/n ？）或引用它。
SC1086不要在迭代器名稱上使用$進行循環。
SC1087擴展數組時需要牙套，如${array[idx]}中。
SC1095您需要功能名稱和車身之間的空間或線饋。
SC1097意外== 。要分配，請使用= 。為了進行比較，請使用[ .. ]或[[ .. ]] 。
SC1098引用/逃脫特殊字符時，例如，例如eval eval "a=(b)" 。
SC1099您需要#之前的空間。
SC2002無用的貓。考慮cmd < file | ..或cmd file | ..反而。
SC2015請注意， A && B || C不是else。 C可能在A為真時運行。
SC2026這個詞不在報價之外。您是否打算“嵌套”““單樣”'“而不是”？
SC2028 echo不會擴展逃生序列。考慮printf 。
SC2035使用./*glob*或-- *glob* ，因此帶有破折號的名稱不會成為選項。
SC2039在Posix SH中，有些不確定。
SC2046引用這一點是為了防止單詞分裂
SC2086雙引號以防止球形和單詞分裂。
SC2140單詞以"A"B"C" （b表示）形式。您的意思是"ABC"或"A"B"C" ？
SC2154 var被引用但未分配。
SC2155單獨聲明並分配以避免掩蓋返回值。
SC2164使用cd ... || exit 。

發展

如果您是一個經驗豐富的Haskeller，那麼如果您在評論中將我們的代碼分開，我們將非常感謝。

要編譯，您將需要最近的Haskell環境和cabal-install 。

設定

  1. 克隆存儲庫

    git clone --recursive [email protected]:hadolint/hadolint.git

  2. 安裝依賴項和編譯源

    cabal configure
cabal build

  3. （可選）在系統上安裝Hadolint 

    cabal install

替補

嘗試解析器的最簡單方法是使用替補。 

 # start the repl
cabal repl
# overload strings to be able to use Text
:set -XOverloadedStrings
# import parser library
import Language.Docker
# parse instruction and look at AST representation
parseText " FROM debian:jessie "

測試

通過單位測試進行編譯並運行它們： 

cabal configure --enable-tests
cabal build --enable-tests
cabal test

運行集成測試： 

./integration_test.sh

ast

Dockerfile語法在Dockerfile參考中充分描述。只需查看language-docker項目中的語法即可查看AST定義。

與自定義圖書館建設

Hadolint使用許多圖書館來完成骯髒的工作。特別是，語言騙子用於解析Dockerfiles並產生AST，然後可以分析該AST。要針對此類庫的自定義版本構建Hadolint，請執行以下操作。此示例使用語言騙子，但它也可以與任何其他庫一起使用。

  1. 在同一目錄（例如/home/user/repos ）克隆Hadolint和語言docker git存儲庫中
 cd /home/user/repos
git clone https://github.com/hadolint/hadolint.git
git clone https://github.com/hadolint/language-docker.git

  1. 對語言騙子進行修改

  2. 在Hadolint倉庫中，編輯cabal.project文件，以便packages屬性也指向另一個存儲庫

 [...]
packages :
  .
  ../language-docker
[...]
  1. 重新編譯Hadolint並進行測試
 cd /home/user/repos/hadolint
cabal configure --enable-tests
cabal build --enable-tests
cabal test

替代方案

  • ReplicatedHQ/DockerFileLint，超級鏈接使用的另一個Linter

  • RedCoolbeans/dockerlint

  • projectatomic/dockerfile_lint

展開
附加信息
相關應用
爲您推薦
相關資訊 全部