Секрет, записанный в ENV или ARG, остаётся в каждом слое образа и в истории сборки, поэтому любой, кто может скачать образ, сможет его прочитать. Этот навык находит такую ошибку и ещё девять распространённых ошибок в Dockerfile, а также подсказывает, как исправить каждую из них.

Ваш агент запускает сканер для ваших Dockerfile (Dockerfile, Dockerfile.*, *.dockerfile, Containerfile). Сканер возвращает BLOCK, REVIEW или NOT FLAGGED и для каждой находки указывает файл, строку, причину и более безопасный подход. Многоэтапные сборки поддерживаются: пользователь root и проверки работоспособности оцениваются по финальному этапу. Значения секретов никогда не выводятся: в отчёте показываются только имя переменной и её длина.

Что проверяется

BLOCK (исправить до выпуска)

• D01: пароль, токен или ключ, записанный в ENV или ARG

• D02: скрипт, загружаемый через curl или wget и передаваемый прямо в shell

• D03: файл .env, закрытый ключ SSH или TLS либо пакет .p12/.pfx, скопированный в образ

REVIEW (проверить перед релизом)

• D11: финальный образ запускается от root

• D12: базовый образ без тега или с тегом :latest

• D13: ADD удалённого URL без контрольной суммы

• D14: apt-get install без удаления списков пакетов

• D15: открытый порт без HEALTHCHECK

• D16: sudo в шаге сборки

• D17: chmod 777

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)

• Руководство по правилам с причиной и более безопасным подходом для каждого правила

• Рискованный и безопасный примеры Dockerfile, а также реальный отчёт сканера по рискованному примеру

Ограничения

Это статическая проверка текста Dockerfile. Сканер не собирает образы и не читает аргументы сборки, а также поддерживает только стандартный перенос строки с помощью обратной косой черты. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл, содержащий 7 файлов: SKILL.md, сканер в scripts/ (2 файла Python), references/rules.md (все правила с причинами и более безопасными подходами) и examples/ (2 файла примеров плюс report.md, реальный вывод сканера для рискованного примера).

Как использовать: Это навык для агента: папка с файлом SKILL.md и скриптами Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: никакого доступа к сети, и никуда ничего не отправляется.