minimal

132 个小型、加固的容器镜像。免费、MIT 许可、已签名，每六小时重新构建。

浏览目录 →

---

快速开始

docker pull ghcr.io/rtvkiz/minimal-python:latest

无需账户。每个镜像都有一个 :latest-dev 配套版本，包含 shell 和工具链，用于调试和多阶段构建。

docker run --rm -p 8080:80 ghcr.io/rtvkiz/minimal-nginx:latest
docker run --rm -p 6379:6379 ghcr.io/rtvkiz/minimal-redis-slim:latest

查找镜像 → — 全部 124 个，附带实时大小和 CVE 数量。

验证你拉取的内容

gh attestation verify oci://ghcr.io/rtvkiz/minimal-python:latest --owner rtvkiz

每个已发布的镜像都带有无密钥 Cosign 签名、SPDX SBOM 以及 SLSA v1.0 构建来源证明，与生成它的工作流和提交绑定。

签名、SBOM 和来源证明命令 →

这些镜像有何不同

• 小巧且无 shell — 在应用程序允许的情况下，生产镜像不包含 /bin/sh，并默认以非 root 用户运行。
• 从源码构建 — 公开、可读的 melange 配方，而非重新打包的基础镜像。原生支持 amd64 和 arm64。
• 永不过时 — 每六小时基于最新的 Wolfi 软件包重新构建；上游发布和传递性 CVE 会各自开启自动合并的 PR。
• 可验证 — 已签名，每个摘要都附带 SBOM 和来源证明。

无供应商 SLA、支持合同或 FedRAMP/FIPS/STIG 认证。签名、SBOM 和来源证明有助于验证和审计；它们不能替代这些认证项目。

固定版本

FROM ghcr.io/rtvkiz/minimal-python@sha256:<digest>   # 不可变
FROM ghcr.io/rtvkiz/minimal-python:3                 # 已修补，无重大版本跳跃

:latest 会跨越主版本；精确版本标签则完全不会变动。

标签与固定版本 →

关于漏洞数量

绿色构建并不意味着零发现。Grype 会扫描每个生产镜像，结果是信息性的——它们不会阻止发布。目录会并排显示原始计数和 VEX 有效计数，并且抑制项会与每次新扫描进行核对，因此它们不会悄悄过期。

解读扫描结果 →

贡献

make python && make test-python                       # 仅 apko 镜像
make caddy-melange && make caddy && make test-caddy   # 从源码构建的镜像

欢迎提交 PR。CONTRIBUTING.md 涵盖工具和布局； docs/onboarding.md 是添加镜像的完整清单；docs/roadmap.md 是按需求排序的待办事项。

安全问题：请使用 私密漏洞报告 而非公开 issue。

许可证

MIT — 参见 LICENSE。镜像包含 Wolfi 和上游软件包，遵循各自的许可证；每个镜像的 SPDX SBOM 中有详细信息。