Arch Linux 現已推出可逐位元完全重現的 Docker 映像 （★ 104 分）
Arch Linux 已推出可逐位元完全重現的 Docker 映像，延續幾個月前其 WSL (Windows Subsystem for Linux，Windows 的 Linux 子系統) 映像達成相同目標的成果。新映像目前以 repro 標籤發行，核心意義是同一份來源與流程反覆建置後，產物可以維持完全一致，讓映像驗證、追溯與供應鏈安全更有根據。不過為了確保可重現性，映像內的 pacman 套件簽章金鑰被移除，因此 pacman 不是開箱即用；使用者需先在容器內重新初始化 pacman-key 並載入 Arch Linux 的金鑰圈，之後才能安裝或更新套件，Distrobox 使用者也能把這一步放進前置初始化指令。
作者指出，最大難題在於把 Docker 映像的基礎 rootFS (root filesystem，根檔案系統) 做成具決定性的建置流程，這部分沿用了 WSL 映像的方法，再針對 Docker 補上幾項關鍵調整：設定 SOURCE_DATE_EPOCH 這個可重現建置常用的時間基準，並讓 OCI (Open Container Initiative，開放容器倡議) 映像的建立時間標籤遵守它；移除會引入非決定性差異的 ldconfig 輔助快取檔；以及在 docker build 或 podman build 時重寫時間戳，統一檔案時間。Arch Linux 團隊再以多次建置後的映像雜湊摘要相同，以及使用 diffoci 這個容器差異比對工具檢查結果一致，來確認映像確實可重現。作者也提到，未來可能在自己的伺服器上架設 rebuilder (自動重建驗證節點)，定期重建最新映像並公開建置紀錄與驗證結果。
討論延伸到這類成果的實際價值。有人形容，可重現映像平常像是「不起眼但必要」的工程工作，真正發生事件時才知道它多重要；有團隊就曾因兩個理應相同的映像只差 3 個位元組的時間戳，而花了一整個下午從錯誤方向追查問題。也有人從韌體與安全關鍵領域出發，認為可重現建置不只是為了理想化的純淨產物，而是認證、稽核、安全與可靠度的基礎，而套件管理器金鑰往往正是最後最難處理的障礙。
另一波意見則聚焦在「可重現」與「持續更新」之間的拉扯。有人提到 Debian 的可重現建置計畫，以及 Debian、Ubuntu 提供的 snapshot mirror (快照鏡像站)，可把套件清單固定在特定日期，讓映像內容更容易追溯與稽核；但也有人提醒，固定舊快照並不等於安全，因為舊映像仍會累積已知漏洞，所以定期重建與更新依然必要。對此，有人批評在 Dockerfile 內直接執行 apt-get update 是反模式，主張應明確固定版本或快照；也有人認為 Nix 這類宣告式建置工具、lockfile (鎖定檔) 與 binary cache (二進位快取) 早已提供更完整的路線，但反方則指出 Nix 套件的新鮮度、相依複雜度與近期安全議題也未必總是理想。整體來看，多數人肯定 Arch Linux 這一步對容器供應鏈透明度的提升，也認為它讓日後的驗證、除錯與稽核工作更扎實。
👥 35 則討論、評論 💬
https://news.ycombinator.com/item?id=47871519