容器配置体检助手

离线审计 Dockerfile 与 Kubernetes 清单的容器配置风险：latest 基础镜像、默认以 root 运行、特权模式与危险 capability、明文密钥写进 ENV/env、缺 resources.limits 与存活探针、hostNetwork 共享宿主机网络、.env 与私钥被 COPY 进镜像、curl|bash 供应链写法。每条结论带 文件:行号 与原文证据，纯 Python 标准库、确定性输出、退出码即结论（零输入返回独立失败码），可直接进 CI 或上线前门禁。