pegleg/whaler 通过分析镜像层历史与文件变更，输出近似 Dockerfile 指令供审计或重建参考。镜像定位为 ephemeral 分析工具，执行完即退出，不适合 Kubernetes 常驻 Deployment 或 HTTP 服务。与 dive、whaler 同类工具相比更侧重 Dockerfile 推断；Pipeline 中挂载 docker.sock 或 tar 导出层并以 --rm 运行，勿对不可信镜像在无隔离环境执行。

快速启动

docker run --rm \
  docker.io/pegleg/whaler:latest \
  nginx:latest

推荐实践

docker run --rm \
  -v /var/run/docker.sock:/var/run/docker.sock \
  docker.io/pegleg/whaler:0.5.0 \
  myregistry.internal/app:1.2.3

核心参数说明

• 镜像名参数 — 待分析的本地或 daemon 可访问镜像
• -v /var/run/docker.sock — 让 whaler 通过 Docker API 读取层
• --rm — 分析完成自动清理容器
• 固定 tag — 输出格式与解析逻辑版本 pin
• 安全 — 仅分析可信镜像，避免恶意层触发解析漏洞
• 用途 — 审计/文档化，非生产运行时