python

كل وسم هو فهرس متعدد المعماريات (amd64 + arm64) مثبّت بالبصمة. موسوم بالإصدار، وليس أبدًا :latest.

استخدمها كصورة أساس

أشِر إليها في سطر FROM داخل ملف Dockerfile. تعمل بدون صلاحيات الجذر، بنظام ملفات جذر للقراءة فقط، ومبنية لـ amd64 و arm64.

FROM ghcr.io/quenchworks/images/python:3.14.6

أو اسحبها مباشرة

docker pull ghcr.io/quenchworks/images/python:3.14.6

خط الإصدار

3.14.6

الخط الأحدث

3.13.14, 3.12.13, 3.14.6

المعماريات

amd64, arm64

تعمل كـ

nonroot (uid 1001)

نظام الملفات الجذر

للقراءة فقط

الرخصة

PSF-2.0

تحقّق من سلسلة التوريد

هذه الصورة موقّعة بـ cosign وتحمل قائمة مكوّنات SPDX SBOM وشهادة منشأ بناء SLSA على البصمة نفسها. تحقّق من الثلاثة جميعها قبل أن تبني عليها:

# 1. signature — built and signed by QuenchWorks CI
cosign verify ghcr.io/quenchworks/images/python:3.14.6 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 2. SLSA build provenance — which workflow built it, from what
cosign verify-attestation --type https://slsa.dev/provenance/v1 ghcr.io/quenchworks/images/python:3.14.6 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 3. SPDX SBOM — the package inventory
cosign verify-attestation --type https://spdx.dev/Document/v2.3 ghcr.io/quenchworks/images/python:3.14.6 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

راجع دليل SBOM والمنشأ لقراءة قائمة المكوّنات واستخدام هذه الفحوص في التكامل المستمر.

أفضل ممارسة لملف Dockerfile لـ 3.14.6

Build a self-contained virtualenv with the full build toolchain in the first stage, then copy just that venv onto a clean python base for the runtime. Compilers and headers never reach the deployed image.

1
# Build stage: install everything into a venv (build deps included).
2
FROM ghcr.io/quenchworks/images/python:3.14.6 AS build
3
USER root
4
WORKDIR /app
5
ENV VIRTUAL_ENV=/opt/venv \
6
    PATH="/opt/venv/bin:$PATH" \
7
    PIP_CACHE_DIR=/tmp/pip
8

9
RUN ["python", "-m", "venv", "/opt/venv"]
10
COPY requirements.txt ./
11
RUN ["pip", "install", "--no-cache-dir", "-r", "requirements.txt"]
12
COPY . .
13

14
# Runtime stage: copy the venv + app onto a clean python base, run nonroot.
15
FROM ghcr.io/quenchworks/images/python:3.14.6 AS runtime
16
WORKDIR /app
17
ENV VIRTUAL_ENV=/opt/venv \
18
    PATH="/opt/venv/bin:$PATH" \
19
    PYTHONUNBUFFERED=1 \
20
    XDG_CACHE_HOME=/tmp
21
COPY --from=build /opt/venv /opt/venv
22
COPY --from=build /app /app
23
USER 1001
24
EXPOSE 8000
25
CMD ["python", "-m", "app"]

هذا الملف Dockerfile مثبّت على خط 3.14.6 . للاطّلاع على شرح سطرًا بسطر وعلى متغيّرات المنظومات (npm/Yarn، pip/uv/Poetry، Maven/Gradle)، راجع دليل ابنِ تطبيق Python.