uv

Cada etiqueta es un índice multiarquitectura (amd64 + arm64) fijado por digest. Etiquetada por versión, nunca :latest.

Úsala como imagen base

Refiérela en la línea FROM de tu Dockerfile. Sin root, sistema de archivos raíz de solo lectura, compilada para amd64 y arm64.

FROM ghcr.io/quenchworks/images/uv:0.11.33

O descárgala directamente

docker pull ghcr.io/quenchworks/images/uv:0.11.33

Línea de versión

0.11.33

Línea más reciente

0.11.31, 0.11.33, 0.11.32

Arquitecturas

amd64, arm64

Se ejecuta como

nonroot (uid 1001)

Sistema de archivos raíz

solo lectura

Licencia

MIT OR Apache-2.0

Verifica la cadena de suministro

Esta imagen está firmada con cosign y lleva un SBOM SPDX y una atestación de procedencia de compilación SLSA en el mismo digest. Comprueba las tres antes de construir sobre ella:

# 1. signature — built and signed by QuenchWorks CI
cosign verify ghcr.io/quenchworks/images/uv:0.11.33 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 2. SLSA build provenance — which workflow built it, from what
cosign verify-attestation --type https://slsa.dev/provenance/v1 ghcr.io/quenchworks/images/uv:0.11.33 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

# 3. SPDX SBOM — the package inventory
cosign verify-attestation --type https://spdx.dev/Document/v2.3 ghcr.io/quenchworks/images/uv:0.11.33 \
  --certificate-identity-regexp 'https://github.com/quenchworks/.+' \
  --certificate-oidc-issuer https://token.actions.githubusercontent.com

Consulta la guía de SBOM y procedencia para leer el SBOM y usar estas comprobaciones en CI.

Dockerfile recomendado para 0.11.33

uv leads: it resolves and syncs the locked, production-only dependency set into a venv, then a clean python base receives that venv and the app. uv never ships in the runtime image.

1
# Build stage: uv resolves and installs into a project venv, fast.
2
FROM ghcr.io/quenchworks/images/uv:0.11.33 AS build
3
USER root
4
WORKDIR /app
5
ENV UV_PROJECT_ENVIRONMENT=/opt/venv \
6
    UV_COMPILE_BYTECODE=1 \
7
    UV_CACHE_DIR=/tmp/uv
8

9
COPY pyproject.toml uv.lock ./
10
RUN ["uv", "sync", "--frozen", "--no-install-project", "--no-dev"]
11
COPY . .
12
RUN ["uv", "sync", "--frozen", "--no-dev"]
13

14
# Runtime stage: copy the venv + app onto a clean python base, nonroot.
15
FROM ghcr.io/quenchworks/images/python:3.14.6 AS runtime
16
WORKDIR /app
17
ENV PATH="/opt/venv/bin:$PATH" \
18
    PYTHONUNBUFFERED=1
19
COPY --from=build /opt/venv /opt/venv
20
COPY --from=build /app /app
21
USER 1001
22
EXPOSE 8000
23
CMD ["python", "-m", "app"]

Este Dockerfile está fijado a la línea 0.11.33 . Para el recorrido línea por línea y las variantes de ecosistema (npm/Yarn, pip/uv/Poetry, Maven/Gradle), consulta la guía Crear una app de Python.