工具集

在本地用 Docker 运行 GitHub Actions 工作流，改完 .github/workflows 不必反复提交推送就能验证 CI，也能把工作流当作本地任务运行器。需要本机安装 Docker。

一站式安全扫描器：检查容器镜像、文件系统、Git 仓库与 Kubernetes 集群中的已知漏洞、IaC 错误配置、泄露密钥与软件许可证，并能生成 SBOM。Aqua Security 开源维护。

用 compose.yaml 定义多容器应用，一条 docker compose up 拉起服务、数据库、缓存等整套环境，适合 agent 搭建本地开发与测试依赖。Docker 官方维护，macOS 随 Docker Desktop 附带。

无需守护进程、支持 rootless 的容器与 Pod 管理工具，命令行与 Docker 兼容，可构建、运行、推送 OCI 镜像；macOS 与 Windows 需通过 podman machine 虚拟机运行。

可编程的软件交付引擎：用 Go、Python、TypeScript 等 8 种语言的 SDK 编写构建、测试与发布流程，全部在容器中运行，本地与 CI 行为一致，自带 OpenTelemetry 追踪。需要 Docker 等容器运行时。

扫描容器镜像、文件系统目录与 SBOM 中的已知漏洞，覆盖主流 Linux 发行版软件包和多种语言依赖，支持按 EPSS、KEV 排序风险，也支持用 OpenVEX 过滤结果，适合在 CI 中做漏洞门禁。由 Anchore 官方维护。

Docker 官方命令行，构建镜像、运行和管理容器、查看日志并推送到镜像仓库，是 agent 搭建隔离运行环境的基础工具。需要本机或远程的 Docker 引擎（如 Docker Desktop）。

Dagger 官方出品：给每个编码 agent 分配独立的容器和 git 分支，多个 agent 可以并行工作、互不干扰，还能查看命令日志、随时接管终端。以 MCP 方式接入，需要 Docker 与 Git，目前仍处于实验阶段。

Docker 官方的 MCP 网关（docker mcp CLI 插件）：从 Docker MCP 目录挑选服务器放进隔离容器运行，统一管理密钥、OAuth 与工具开关，多个客户端共用一个入口。Docker Desktop 4.59+ 已内置，Docker CE 等环境需自行编译插件。

Docker 官方技能合集：项目容器化、Dockerfile 构建优化与加固、Compose 编排、Docker Sandboxes 与 Docker Agent 用法，并对删除等破坏性操作加确认护栏。