5.9. Воспроизводимые сборки

FROM python:3.13-slim@sha256:bf503bb2243c5aad0aa951544dd60d165f992646441d35dea90893703fc26251

requirements.txt:
  fastapi==0.141.1        ← закреплено

  но fastapi требует:
    starlette>=0.42,<0.50 ← не закреплено
    pydantic>=2.9         ← не закреплено

fastapi==0.141.1 \
    --hash=sha256:a1b2c3d4e5f6...

RUN apt-get update \
 && apt-get install -y --no-install-recommends \
        curl=8.14.1-2 \
        ca-certificates=20250419 \
 && rm -rf /var/lib/apt/lists/*

SOURCE_DATE_EPOCH=$(git log -1 --pretty=%ct) docker build -t app .

docker buildx build --sbom=true --provenance=true -t app .

mkdir -p /tmp/repro/app && cd /tmp/repro
echo "print('приложение')" > app/main.py
cat > .dockerignore <<'EOF'
Dockerfile*
.dockerignore
__pycache__
EOF

cat > requirements.loose.txt <<'EOF'
fastapi
uvicorn
EOF

cat > Dockerfile.loose <<'EOF'
FROM python:3.13-slim
WORKDIR /app
COPY requirements.loose.txt .
RUN pip install --no-cache-dir -r requirements.loose.txt
COPY app/ ./app/
CMD ["python", "app/main.py"]
EOF

docker build -q --no-cache -f Dockerfile.loose -t repro:loose . > /dev/null

echo "фактически установленные версии:"
docker run --rm repro:loose pip list --format=freeze 2>/dev/null \
    | grep -iE '^(fastapi|starlette|pydantic|uvicorn)=' | sed 's/^/  /'

фактически установленные версии:
  fastapi==0.141.1
  pydantic==2.13.4
  starlette==0.49.2
  uvicorn==0.52.0

# получаем полный список с транзитивными зависимостями
docker run --rm repro:loose pip freeze > requirements.locked.txt
wc -l < requirements.locked.txt
head -6 requirements.locked.txt

14
annotated-types==0.7.0
anyio==4.12.0
click==8.3.0
fastapi==0.141.1
h11==0.16.0
httptools==0.7.1

cat > Dockerfile.locked <<'EOF'
FROM python:3.13-slim
WORKDIR /app
COPY requirements.locked.txt .
RUN pip install --no-cache-dir -r requirements.locked.txt
COPY app/ ./app/
CMD ["python", "app/main.py"]
EOF

docker build -q --no-cache -f Dockerfile.locked -t repro:locked . > /dev/null

echo "проверка идентичности набора пакетов:"
docker run --rm repro:locked pip freeze > /tmp/repro/check1.txt
docker build -q --no-cache -f Dockerfile.locked -t repro:locked2 . > /dev/null
docker run --rm repro:locked2 pip freeze > /tmp/repro/check2.txt
diff -q /tmp/repro/check1.txt /tmp/repro/check2.txt && echo "  наборы идентичны"

проверка идентичности набора пакетов:
  наборы идентичны

DIGEST="$(docker image inspect python:3.13-slim \
          --format '{{index .RepoDigests 0}}' | cut -d@ -f2)"
echo "digest базового образа: $DIGEST"

cat > Dockerfile.pinned <<EOF
# Базовый образ закреплён по digest.
# Тег оставлен для читаемости; при расхождении приоритет у digest.
FROM python:3.13-slim@${DIGEST}
WORKDIR /app
COPY requirements.locked.txt .
RUN pip install --no-cache-dir -r requirements.locked.txt
COPY app/ ./app/
CMD ["python", "app/main.py"]
EOF

docker build -q -f Dockerfile.pinned -t repro:pinned . > /dev/null
docker run --rm repro:pinned

digest базового образа: sha256:bf503bb2243c5aad0aa951544dd60d165f992646441d35dea90893703fc26251
приложение

docker run --rm python:3.13-slim sh -c '
    pip install -q pip-tools==7.5.1 2>/dev/null
    echo "fastapi==0.141.1" > /tmp/r.in
    pip-compile --generate-hashes --quiet --output-file=- /tmp/r.in 2>/dev/null
' | head -8

#
# This file is autogenerated by pip-compile with Python 3.13
#
annotated-types==0.7.0 \
    --hash=sha256:1f02e8b43a8fbbc3f3e0d4f0f4bfc8131bcb4eebe8849b8e5c773f3a1c582a53 \
    --hash=sha256:aff07c09a53a08bc8cfccb9c85b05f1aa9a2a6f23728d790723543408344ce89

RUN pip install --require-hashes --no-cache-dir -r requirements.txt

cat > Dockerfile.sde <<'EOF'
FROM alpine:3.21
RUN echo "содержимое" > /file.txt
CMD ["cat", "/file.txt"]
EOF

echo "=== без SOURCE_DATE_EPOCH ==="
docker build -q --no-cache -f Dockerfile.sde -t sde:1 . > /dev/null
D1="$(docker image inspect sde:1 --format '{{.Id}}')"
sleep 2
docker build -q --no-cache -f Dockerfile.sde -t sde:2 . > /dev/null
D2="$(docker image inspect sde:2 --format '{{.Id}}')"
[ "$D1" = "$D2" ] && echo "  ID совпали" || echo "  ID различаются"

echo "=== с SOURCE_DATE_EPOCH ==="
export SOURCE_DATE_EPOCH=1700000000
docker build -q --no-cache -f Dockerfile.sde -t sde:3 . > /dev/null
D3="$(docker image inspect sde:3 --format '{{.Id}}')"
sleep 2
docker build -q --no-cache -f Dockerfile.sde -t sde:4 . > /dev/null
D4="$(docker image inspect sde:4 --format '{{.Id}}')"
[ "$D3" = "$D4" ] && echo "  ID совпали" || echo "  ID различаются"

echo "=== метка времени создания образа ==="
docker image inspect sde:3 --format '  {{.Created}}'
unset SOURCE_DATE_EPOCH

=== без SOURCE_DATE_EPOCH ===
  ID различаются
=== с SOURCE_DATE_EPOCH ===
  ID совпали
=== метка времени создания образа ===
  2023-11-14T22:13:20Z

# в репозитории Git:
# SOURCE_DATE_EPOCH=$(git log -1 --pretty=%ct) docker build -t app .
echo "SOURCE_DATE_EPOCH=\$(git log -1 --pretty=%ct)"

docker buildx create --name attest --driver docker-container --bootstrap > /dev/null 2>&1

docker buildx build --builder attest \
    --sbom=true --provenance=mode=max \
    -f Dockerfile.pinned -t repro:attested \
    --load . > /dev/null 2>&1 && echo "образ собран с attestations"

docker buildx imagetools inspect repro:attested --format '{{ json .SBOM }}' 2>/dev/null \
    | python3 -c "
import json, sys
try:
    data = json.load(sys.stdin)
except Exception:
    print('  SBOM доступен после публикации в registry'); raise SystemExit
pkgs = data.get('SPDX', {}).get('packages', [])
print(f'  пакетов в SBOM: {len(pkgs)}')
for p in pkgs[:8]:
    print(f\"    {p.get('name')} {p.get('versionInfo','')}\")
" 2>/dev/null || echo "  для просмотра нужен образ в registry"

docker run --rm repro:pinned pip list --format=json 2>/dev/null \
    | python3 -c "
import json,sys
pkgs = json.load(sys.stdin)
print(f'  Python-пакетов: {len(pkgs)}')
for p in pkgs[:5]:
    print(f\"    {p['name']}=={p['version']}\")
"

  Python-пакетов: 14
    annotated-types==0.7.0
    anyio==4.12.0
    click==8.3.0
    fastapi==0.141.1
    h11==0.16.0

docker buildx rm attest > /dev/null 2>&1 || true

compare_builds() {
    local dockerfile="$1" label="$2"
    docker build -q --no-cache -f "$dockerfile" -t cmp:a . > /dev/null 2>&1
    docker build -q --no-cache -f "$dockerfile" -t cmp:b . > /dev/null 2>&1

    local id_a id_b pkgs_a pkgs_b
    id_a="$(docker image inspect cmp:a --format '{{.Id}}')"
    id_b="$(docker image inspect cmp:b --format '{{.Id}}')"
    pkgs_a="$(docker run --rm cmp:a pip freeze 2>/dev/null | sort | md5sum | cut -c1-8)"
    pkgs_b="$(docker run --rm cmp:b pip freeze 2>/dev/null | sort | md5sum | cut -c1-8)"

    printf '  %-22s побитово: %-12s состав: %s\n' "$label" \
        "$([ "$id_a" = "$id_b" ] && echo 'одинаково' || echo 'различается')" \
        "$([ "$pkgs_a" = "$pkgs_b" ] && echo 'одинаков' || echo 'РАЗЛИЧАЕТСЯ')"
    docker rmi -f cmp:a cmp:b > /dev/null 2>&1
}

echo "=== сравнение двух независимых сборок ==="
compare_builds Dockerfile.loose  "без закрепления"
compare_builds Dockerfile.pinned "с закреплением"

=== сравнение двух независимых сборок ===
  без закрепления        побитово: различается   состав: одинаков
  с закреплением         побитово: различается   состав: одинаков

cat > update-pins.sh <<'SH'
#!/usr/bin/env bash
# update-pins.sh — обновление закреплённых версий с фиксацией изменений.
set -euo pipefail

echo "=== 1. Текущий базовый образ ==="
CURRENT="$(grep -oP 'FROM \S+@\K sha256:\S+' Dockerfile.pinned 2>/dev/null \
           || grep -oP 'FROM [^@]+@\Ksha256:[a-f0-9]+' Dockerfile.pinned)"
echo "  $CURRENT"

echo "=== 2. Актуальный digest тега ==="
docker pull -q python:3.13-slim > /dev/null
LATEST="$(docker image inspect python:3.13-slim \
          --format '{{index .RepoDigests 0}}' | cut -d@ -f2)"
echo "  $LATEST"

if [ "$CURRENT" = "$LATEST" ]; then
    echo "=== базовый образ актуален ==="
else
    echo "=== ТРЕБУЕТСЯ ОБНОВЛЕНИЕ ==="
    echo "  замените в Dockerfile:"
    echo "    было:  $CURRENT"
    echo "    стало: $LATEST"
fi
SH
chmod +x update-pins.sh
./update-pins.sh

=== 1. Текущий базовый образ ===
  sha256:bf503bb2243c5aad0aa951544dd60d165f992646441d35dea90893703fc26251
=== 2. Актуальный digest тега ===
  sha256:bf503bb2243c5aad0aa951544dd60d165f992646441d35dea90893703fc26251
=== базовый образ актуален ===

cd /tmp
docker rmi -f $(docker images -q --filter 'reference=repro:*') 2>/dev/null || true
docker rmi -f sde:1 sde:2 sde:3 sde:4 2>/dev/null || true
rm -rf /tmp/repro

FROM python:3.13-slim
RUN apt-get update && apt-get install -y curl
COPY requirements.txt .
RUN pip install -r requirements.txt
COPY . /app
WORKDIR /app
CMD ["python", "app/main.py"]

fastapi
uvicorn

mkdir -p /tmp/vrp && cd /tmp/vrp
docker pull -q alpine:3.21 > /dev/null
D="$(docker image inspect alpine:3.21 --format '{{index .RepoDigests 0}}' | cut -d@ -f2)"
printf 'FROM alpine:3.21@%s\nRUN echo ok > /f.txt\nCMD ["cat","/f.txt"]\n' "$D" > Dockerfile
docker build -q -t vrp:1 . > /dev/null
docker run --rm vrp:1
docker image inspect vrp:1 --format 'база закреплена: {{index .Config.Labels "x"}}' 2>/dev/null || true
grep -o 'sha256:[a-f0-9]\{12\}' Dockerfile | head -1
docker rmi -f vrp:1 > /dev/null; cd /tmp && rm -rf /tmp/vrp