如何通过Docker的Container-Diff工具对比两个版本镜像间的安全补丁更新差异？

本文共计1191个文字，预计阅读时间需要5分钟。

codecontainer-diff 是 Google 开源的镜像差异分析工具，专注于对比 Docker 镜像层、包列表、文件系统变更等设计，但它不直接识别安全补丁。它只会告诉你某个包的版本变了或某个文件被删除了/新增了。真正的安全补丁差异判断，需要你结合 CVE 数据库、镜像更新日志和包管理器输出进行交叉验证。

---

为什么 container-diff 不能直接告诉你“修复了哪些 CVE”

container-diff 的能力边界很明确：它解析镜像的文件系统快照和包管理数据库（如 dpkg、rpm、apk），输出两镜像在以下维度的差异：

• apt 或 apk 包列表（含版本号）
• 文件系统新增/删除/修改的路径
• Docker 镜像层元数据（如构建命令、时间戳）
• 用户、权限、环境变量等配置项

但它不会调用 NVD API、不查 debian-security 更新公告、也不解析 apt list --upgradable 的语义。所以当你看到 libssl1.1 从 1.1.1n-0+deb11u5 升到 1.1.1n-0+deb11u6，container-diff 只报“版本变更”，而 deb11u6 是否对应 CVE-2023-xxxx 的修复，得你手动查 Debian 安全通告。