python - 为什么官方 docker python 图像包含 GPG_KEY 环境变量？

Question

为什么包含这个？在继承自此图像的图像中取消设置它有什么坏处吗？

Answer 1

如果您只是从图像继承，即 FROM python:3.5 那么您无需担心 GPG_KEY 变量。

如果您正在自定义 Python 图像的官方 dockerfile，则不要取消设置或重置这些值，因为这会破坏图像的构建。

---

包含它是为了验证下载的 Python 源文件的真实性。

它通常在构建镜像时使用，因此当您用特定版本标记它时，该版本会在构建之前下载并验证。

值在 update.sh script 中设置:

declare -A gpgKeys=(
    # gpg: key 18ADD4FF: public key "Benjamin Peterson <benjamin@python.org>" imported
    [2.7]='C01E1CAD5EA2C4F0B8E3571504C367C218ADD4FF'
    # https://www.python.org/dev/peps/pep-0373/#release-manager-and-crew

    # gpg: key F73C700D: public key "Larry Hastings <larry@hastings.org>" imported
    [3.4]='97FC712E4C024BBEA48A61ED3A5CA953F73C700D'
    # https://www.python.org/dev/peps/pep-0429/#release-manager-and-crew

    # gpg: key F73C700D: public key "Larry Hastings <larry@hastings.org>" imported
    [3.5]='97FC712E4C024BBEA48A61ED3A5CA953F73C700D'
    # https://www.python.org/dev/peps/pep-0478/#release-manager-and-crew

    # gpg: key AA65421D: public key "Ned Deily (Python release signing key) <nad@acm.org>" imported
    [3.6]='0D96DF4D4110E5C43FBFB17F2D347EA6AA65421D'
    # https://www.python.org/dev/peps/pep-0494/#release-manager-and-crew

    # gpg: key AA65421D: public key "Ned Deily (Python release signing key) <nad@acm.org>" imported
    [3.7]='0D96DF4D4110E5C43FBFB17F2D347EA6AA65421D'
    # https://www.python.org/dev/peps/pep-0494/#release-manager-and-crew
)

此脚本然后更新最终用于构建实际图像的各种单独的 dockerfile。