docker scout compare
| 描述 | 比较两个镜像并显示差异（实验性） |
|---|---|
| 用法 | docker scout compare --to IMAGE|DIRECTORY|ARCHIVE [IMAGE|DIRECTORY|ARCHIVE] |
| 别名 | docker scout diff |
实验性
此命令是实验性的。
实验性功能旨在用于测试和反馈，因为它们的功能或设计可能会在版本之间未经警告而更改，或者在未来的版本中被完全删除。
描述
docker scout compare 命令分析两个镜像并显示比较结果。
此命令是实验性的，其行为将来可能会改变
此命令的目的是比较同一镜像的两个版本。例如，当构建新镜像并将其与生产环境中运行的版本进行比较时。
如果未指定镜像，则最近构建的镜像将用作比较目标。
支持以下工件类型：
- 镜像
- OCI 布局目录
- 由
docker save创建的 Tarball 存档 - 本地目录或文件
默认情况下，该工具需要一个镜像引用，例如：
rediscurlimages/curl:7.87.0mcr.microsoft.com/dotnet/runtime:7.0
如果您要分析的工件是 OCI 目录、tarball 存档、本地文件或目录，或者如果您想控制镜像的解析来源，则必须在引用前加上以下前缀之一：
image://（默认）使用本地镜像，或回退到注册表查找local://使用本地镜像存储中的镜像（不进行注册表查找）registry://使用注册表中的镜像（不使用本地镜像）oci-dir://使用 OCI 布局目录archive://使用由docker save创建的 tarball 存档fs://使用本地目录或文件sbom://SPDX 文件或带有 SPDX 谓词的 in-toto 证明文件或syftjson SBOM 文件
选项
| 选项 | 默认值 | 描述 |
|---|---|---|
-x, --exit-on | 以逗号分隔的条件列表，如果情况恶化或发生变化，则操作步骤失败，选项包括：vulnerability（漏洞）、policy（策略）、package（包） | |
--format | text | 生成的漏洞报告的输出格式 - text: 默认输出，纯文本，带或不带颜色，取决于终端 - markdown: Markdown 输出 |
--hide-policies | 从输出中隐藏策略状态 | |
--ignore-base | 过滤掉来自基础镜像的 CVE | |
--ignore-unchanged | 过滤掉未更改的包 | |
--multi-stage | 显示来自多阶段 Docker 构建的包 | |
--only-fixed | 仅过滤可修复的 CVE | |
--only-package-type | 以逗号分隔的包类型列表（如 apk、deb、rpm、npm、pypi、golang 等） | |
--only-policy | 以逗号分隔的要评估的策略列表 | |
--only-severity | 以逗号分隔的严重性列表（critical、high、medium、low、unspecified），用于过滤 CVE | |
--only-stage | 以逗号分隔的多阶段 Docker 构建阶段名称列表 | |
--only-unfixed | 仅过滤未修复的 CVE | |
--org | Docker 组织的命名空间 | |
-o, --output | 将报告写入文件 | |
--platform | 要分析的镜像平台 | |
--ref | 如果提供的 tarball 包含多个引用，则使用的引用。 只能与 archive 一起使用 | |
--to | 要比较的镜像、目录或存档 | |
--to-env | 要比较的环境名称 | |
--to-latest | 要比较的最新处理的镜像 | |
--to-ref | 如果提供的 tarball 包含多个引用，则使用的引用。 只能与 archive 一起使用。 |
示例
将最近构建的镜像与最新标签进行比较
$ docker scout compare --to namespace/repo:latest
将本地构建与注册表中相同的标签进行比较
$ docker scout compare local://namespace/repo:latest --to registry://namespace/repo:latest
忽略基础镜像
$ docker scout compare --ignore-base --to namespace/repo:latest namespace/repo:v1.2.3-pre
生成 Markdown 输出
$ docker scout compare --format markdown --to namespace/repo:latest namespace/repo:v1.2.3-pre
仅比较 Maven 包，并且仅显示 Maven 包的关键漏洞
$ docker scout compare --only-package-type maven --only-severity critical --to namespace/repo:latest namespace/repo:v1.2.3-pre
显示两个镜像的所有策略结果
docker scout compare --to namespace/repo:latest namespace/repo:v1.2.3-pre