docker scout compare

描述比较两个镜像并显示差异（实验性）
用法docker scout compare --to IMAGE|DIRECTORY|ARCHIVE [IMAGE|DIRECTORY|ARCHIVE]
别名
docker scout diff

实验性

此命令为实验性命令。

实验性功能旨在用于测试和反馈，因为它们的功能或设计可能会在版本之间发生变化，恕不另行通知，或者可能在将来的版本中被完全删除。

描述

docker scout compare 命令分析两个镜像并显示比较结果。

此命令为实验性命令，其行为将来可能会发生变化。

此命令的预期用途是比较同一镜像的两个版本。例如，当构建新镜像并将其与生产环境中运行的版本进行比较时。

如果未指定镜像，则使用最近构建的镜像作为比较目标。

支持以下工件类型

  • 镜像
  • OCI 布局目录
  • 由docker save创建的 Tarball 归档文件
  • 本地目录或文件

默认情况下，该工具期望一个镜像引用，例如：

  • redis
  • curlimages/curl:7.87.0
  • mcr.microsoft.com/dotnet/runtime:7.0

如果要分析的工件是 OCI 目录、Tarball 归档文件、本地文件或目录，或者如果要控制从何处解析镜像，则必须使用以下前缀之一：

  • image://（默认）使用本地镜像，或回退到注册表查找
  • local://使用本地镜像存储中的镜像（不进行注册表查找）
  • registry://使用注册表中的镜像（不使用本地镜像）
  • oci-dir://使用 OCI 布局目录
  • archive://使用由docker save创建的 Tarball 归档文件
  • fs://使用本地目录或文件
  • sbom://SPDX 文件或包含 SPDX 谓词的 in-toto 证明文件或syft json SBOM 文件

选项

选项默认值描述
-x, --exit-on如果情况更糟，则使操作步骤失败的条件的逗号分隔列表，选项包括：漏洞、策略
--formattext生成的漏洞报告的输出格式
- text：默认输出，纯文本，根据终端显示或不显示颜色
- markdown：Markdown 输出
--hide-policies隐藏输出中的策略状态
--ignore-base过滤掉基础镜像中引入的 CVE
--ignore-unchanged过滤掉未更改的包
--multi-stage显示多阶段 Docker 构建中的包
--only-fixed过滤可修复的 CVE
--only-package-type包类型的逗号分隔列表（如 apk、deb、rpm、npm、pypi、golang 等）
--only-policy要评估的策略的逗号分隔列表
--only-severity用于按严重性（严重、高、中、低、未指定）过滤 CVE 的逗号分隔列表
--only-stage多阶段 Docker 构建阶段名称的逗号分隔列表
--only-unfixed过滤未修复的 CVE
--orgDocker 组织的命名空间
-o, --output将报告写入文件
--platform要分析的镜像的平台
--ref如果提供的 tarball 包含多个引用，则要使用的引用。
只能与 archive 一起使用
--to要比较到的镜像、目录或归档文件
--to-env要比较到的环境的名称
--to-latest要比较到的最新处理的镜像
--to-ref如果提供的 tarball 包含多个引用，则要使用的引用。
只能与 archive 一起使用。

示例

将最近构建的镜像与最新标签进行比较

$ docker scout compare --to namespace/repo:latest

将本地构建与注册表中的相同标签进行比较

$ docker scout compare local://namespace/repo:latest --to registry://namespace/repo:latest

忽略基础镜像

$ docker scout compare --ignore-base --to namespace/repo:latest namespace/repo:v1.2.3-pre

生成 Markdown 输出

$ docker scout compare --format markdown --to namespace/repo:latest namespace/repo:v1.2.3-pre

仅比较 Maven 包，并且仅显示 Maven 包的严重漏洞

$ docker scout compare --only-package-type maven --only-severity critical --to namespace/repo:latest namespace/repo:v1.2.3-pre

显示两个镜像的所有策略结果

docker scout compare --to namespace/repo:latest namespace/repo:v1.2.3-pre