为什么 Docker 镜像链接包含多个版本和标签？

Question

希望这不是一个愚蠢的问题。在查看 Docker 镜像时，特别是来自官方存储库的镜像，它们列出了每个 dockerfile 的多个版本和标签。例如：

9.1.6-php8.0-apache-buster, 9.1-php8.0-apache-buster, 9-php8.0-apache-buster, php8.0-apache-
buster, 9.1.6-php8.0-apache, 9.1-php8.0-apache, 9-php8.0-apache, php8.0-apache, 9.1.6-apache-
buster, 9.1-apache-buster, 9-apache-buster, apache-buster, 9.1.6-apache, 9.1-apache, 
9-apache, apache, 9.1.6, 9.1, 9, latest, 9.1.6-php8.0, 9.1-php8.0, 9-php8.0, php8.0

我的问题是为什么他们在链接中列出了这么多版本的变体（即 9.1.6-php8.0-apache-buster 和 9.1-php8.0-apache-buster 等）？我不确定这是否适用于搜索和蜘蛛（尽管它不需要像他们那样包含在链接中），还是因为每个 dockerfile 都可以修改为这些版本中的任何一个？ （如果是这样，如何？）。例如，上面的 drupal dockerfile 支持 9 - 9.1.6，并且可以将 dockerfile 调整为该版本。 TBH，如果只是为了搜索索引，这主要是令人困惑，为什么他们这样做他们的链接，因为它看起来支持某些东西的多个版本。

Answer 1

今天，这些标签可能都指向同一张图片。但是明天可能会发布 9.1.7，届时，所有 9.1.6 映像将保持不变，并且会使用 9.1 和 9 等通用标签构建一组新的 9.1.7 映像。此外，当 9.2.0 发布时，或者 php 8.1 出来了，或者下一个版本的 debian 发布了，这些都可能对应用程序造成重大变化。所以在你的 Dockerfile 中，你可能会说：

FROM ${BASE}:9.1-php8.0-apache-buster

通过这样做，您将在 9.1.7 发布时获得它，而不是 9.2.0，并且您不会意外地转移到 nginx，或者当它稳定时从 buster 升级到 bullseye。您的应用程序能够容忍的更改越多，您的基本图像标签就越通用。作为其中一项更改的风险可能会破坏您的应用。

您可以非常具体并固定到不会自动更新的确切基础映像，但是随着在较新的基础映像中修补了安全漏洞，您的子映像将仍然容易受到攻击，因为它被锁定到赢得'不接收更新。