用途：通过在多阶段构建的最终阶段使用 Google distroless 基础镜像，构建仅含应用及其运行时依赖的容器镜像，以缩小攻击面。资料称其相比 ubuntu、debian 等传统基础镜像最多可减少约 95% 的攻击面，Kubernetes、Knative、Tekton 等项目在生产中使用；2025 年起 Docker Hardened Images (DHI) 也提供开源的最小基础镜像替代方案。
主要能力：提供多种 distroless 镜像，如 static-debian12（静态编译二进制，约 2MB）、base-debian12（需 glibc 的动态链接二进制，约 20MB）、cc-debian12（C/C++，约 25MB）、java21-debian12（约 220MB）、python3-debian12（约 50MB）、nodejs22-debian12（约 130MB）。镜像无 shell、无包管理器、无 coreutils、无 curl/wget、无用户管理工具，典型已知 CVE 为 0–5 个（Ubuntu 镜像约 50–200+），默认提供 :nonroot 标签以 UID 65534 运行。
使用方式：需 Docker 20.10+ 或兼容构建工具（Buildah、Kaniko）、多阶段 Dockerfile、静态编译或已打包运行时的应用，以及镜像仓库。构建时在 builder 阶段完成编译与依赖安装，再在 distroless 运行阶段仅复制产物并设置 USER nonroot:nonroot 与 ENTRYPOINT；资料给出 Go、Java、Python、Node.js 的示例片段。调试因无 shell 而受限，可使用 :debug 变体（含 /busybox/sh，仅限非生产环境），或 Kubernetes 1.25+ 的临时调试容器：kubectl debug -it pod-name --image=busybox:1.36 --target=app-container；也可用 crane export 或 dive 检查镜像层。可配合 Trivy 扫描对比漏洞数量。
适用场景与限制：适合容器安全加固、合规控制对齐、安全架构改进与安全评估。限制包括无 shell 导致调试不便、非 root 运行可能需调整应用权限、镜像可用版本与标签以官方发布为准；资料未提供具体收费或价格信息。