用途：在将 Dockerfile 投入生产部署或选择基础镜像时，提供加固与最佳实践指导，防止容器以 root 运行、缺少 HEALTHCHECK 定义、信号无法传递等问题。
主要能力：给出基础镜像选型对比（scratch、alpine、*-slim、distroless、完整镜像）及构建阶段用完整镜像、运行阶段用最小镜像的原则；提供生产检查清单，涵盖非 root 用户、信号处理、健康检查、固定基础镜像、OCI 标签、最小攻击面、只读文件系统、构建期密钥等；给出 Debian/Ubuntu、Alpine、Distroless 的非 root 用户配置模式；说明 PID 1 信号问题及 exec 形式 ENTRYPOINT、tini/dumb-init 初始化进程、自定义 STOPSIGNAL；提供 HTTP、TCP、文件及无 curl/wget 的最小镜像健康检查写法；给出入口脚本模式与 exec "$@" 要求；说明 OCI 元数据标签与可复现构建（摘要固定、包版本固定、SOURCE_DATE_EPOCH）；附生产 Dockerfile 模板与各语言示例引用。
使用方式：按清单逐项检查 Dockerfile，使用 exec 形式 ENTRYPOINT、显式 USER、HEALTHCHECK、固定镜像摘要，构建时用 --mount=type=secret 处理密钥，运行时可用 --read-only、--init。
适用场景：生产容器镜像加固、基础镜像选型、多阶段构建、健康检查与信号处理配置。
限制：资料未提供具体收费、价格、平台支持范围或效果数据；部分命令与模板需结合自身项目调整。