docker - 容器和主机之间的库共享有多普遍？

Question

我正在从安全的角度研究容器之间的共享库。

在许多安全资源中，讨论了容器共享依赖引用(即同一个文件)的共享库场景，我可以提出两种场景:

事实上讨论的场景 - 一些 lib 目录从主机安装到容器

发明场景 - 为不同的容器(不同的服务、相同容器的复制集或两者)创建共享卷，并填充所有容器之间共享的库。

尽管进行了讨论，但我在现实世界中找不到这种行为，所以问题是:这种方法有多普遍？

引用使用此技术的官方和已知图像会很棒!

Answer 1

这通常根本不被认为是最佳实践。单个 Docker 镜像旨在自包含并包含它需要运行的所有应用程序代码和库。除了一些问题，我从未遇到过建议使用卷将任何类型的代码注入(inject)容器的 Docker 镜像。

(一个异常(exception)是 node 图像；有一个常见的 SO 问题是关于在 node_modules 目录中使用匿名卷 [TL;DR:package.json 中的更改从不更新卷] 但即便如此，这也是试图避免共享具有其他上下文的库树。)

一种有用的技术是构建一个包含一组库的中间基础镜像，然后在此基础上构建一个应用程序。在机械层面，对于 ubuntu:18.04 的特定版本图像，我认为基于该图像的所有其他图像都使用相同的 libc.so.6 ，但从 Docker 的角度来看，这是一个实现细节。