容器安全存在两难：完整镜像攻击面大，distroless精简镜像常丢失包元数据，导致扫描器漏报、合规风险高。文章提出自下而上的构建方法：用Chisel将可信Linux包切分为所需片段并保留元数据，用Rockcraft以声明式YAML构建OCI镜像，运行时用Pebble作为PID 1回收僵尸进程，从而兼顾最小化、可审计与运行稳定。