镜像生命周期与风险：构建、存储、分发、部署全链路安全分析

镜像供应链的安全并非单一环节的防护，而是贯穿从代码提交到生产运行的完整生命周期。攻击者可能在任何阶段植入恶意载荷、篡改元数据或窃取凭证。理解每个阶段的风险特征，是配置信任边界的前提。

2.1 构建阶段：信任的起点，也是最脆弱的环节

镜像构建是供应链信任的根。如果基础镜像或构建过程被污染，后续所有安全控制都将失效。构建阶段的风险主要集中在以下四个方面：

2.2 存储阶段：镜像仓库成为攻击者的“弹药库”

镜像仓库（Registry）是镜像供应链的中枢。一旦仓库被攻破，攻击者可以批量篡改镜像、窃取企业级镜像资产，甚至将恶意镜像分发给所有下游消费者。

• 镜像篡改风险：攻击者获得仓库写入权限后，替换或修改已有镜像标签（tag），用户拉取时获取恶意版本。
• 凭证泄露与未授权访问：仓库认证凭据（如 Docker config.json、Harbor 机器人账户）泄露，导致外部实体拉取/推送镜像。
• 镜像过期与僵尸镜像：长期不更新的镜像包含未修复漏洞，成为供应链中的“定时炸弹”。
• 元数据篡改：镜像清单（manifest）或摘要（digest）被修改，破坏镜像完整性校验。

2.3 分发阶段：传输途中的“中间人”陷阱

镜像从仓库拉取到部署节点的传输过程，是攻击者实施中间人攻击（MITM）和缓存投毒的高发区。尤其在多集群、混合云或边缘计算场景中，分发链路更长，攻击面更大。

2.4 部署阶段：运行时信任的“最后一公里”

即使镜像在构建、存储、分发阶段都保持安全，部署阶段的配置错误或运行时逃逸仍可能导致信任崩塌。Kubernetes 等编排平台引入了额外的信任维度。

• 运行时逃逸：容器内进程突破隔离边界，访问宿主机资源或其他容器。
• 配置漂移：部署时覆盖了镜像的安全配置（如 privileged: true、hostNetwork），降低安全水位。
• Secrets 泄露：Kubernetes Secrets 以明文方式挂载到容器，或通过环境变量暴露。
• 镜像回滚风险：回滚到旧版本镜像时，可能引入已修复的漏洞或已知后门。
• 准入控制缺失：未配置 OPA/Gatekeeper 或 Kyverno 策略，允许不符合安全基线的镜像运行。

2.5 风险矩阵：四阶段风险优先级与应对策略

下表汇总了各阶段的高、中、低风险项，并给出对应的信任边界配置建议，帮助你在课程后续章节中建立优先级。