用途：把 Dockerfile 的“看起来没问题”变成可重复的工具证据，用于 lint、格式检查、自动修复与提交前质量验证，也用于处理 hadolint '{file}' 相关失败。
主要能力：识别 Dockerfile 工作区（无固定扩展名、无专用标记文件）；执行 hadolint '{file}' 并保留退出码、作用域与工具版本；把失败分为格式、静态规则、配置、环境、工具内部错误；对可逆问题用 hadolint 修复并复扫；把 lint 结果与 CI/构建/测试证据分层汇报。
使用方式：先确认仓库根与目标文件，探测 hadolint --version；只读检查用 bash -c 'find . ( -name '"'"'Dockerfile'"'"' -o -name '"'"'Dockerfile.'"'"' -o -name '"'"'Containerfile'"'"' ) -type f -not -path '"'"'/node_modules/*'"'"' -print0 | xargs -0 -r hadolint'；工具准备为 brew install hadolint。修复后复跑同一命令，再运行项目已有测试与构建。输出按范围、工具、命令、状态（PASS/FAIL/UNVERIFIED/PLANNED）、发现、修改、复验、未验证分层。
适用场景：用户要求检查或修复 Dockerfile 规范；AI 修改后需提交前验证；CI 出现 hadolint 相关失败；判断问题能否自动修复。
限制：工具缺失或版本不兼容记为无法验证，不得声称通过；不静默安装工具、升级依赖或改团队规则；不用 ignore/suppress 掩盖问题；formatter 通过不等于编译、测试或安全审计通过；Hadolint 通过不证明镜像安全，仍需检查基础镜像摘要、SBOM 与漏洞扫描。不收集上传代码与凭据，默认只读本地仓库并运行本地工具。