Если ты запускаешь контейнеры в проде или CI/CD - никогда не полагайся только на `latest` тег.
Вместо этого всегда фиксируй версии по SHA-digest, а не по тегам образов.
Вот почему 👇
🔹 Тег
latest может поменяться в любой момент — образ обновится, а твой контейнер внезапно поведёт себя по-другому. 🔹 Даже фиксированные теги (`1.21`,
3.10 и т.п.) не гарантируют стабильность — кто-то мог пересобрать их с новыми зависимостями. 🔹 Digest (`sha256:...`) — это точный отпечаток конкретного образа, который гарантирует, что в проде и CI запустится один и тот же код.
Пример безопасного запуска:
docker pull python@sha256:bcfb1c7d1c21f0c84793e9...
docker run python@sha256:bcfb1c7d1c21f0c84793e9... python app.py
💡 Так ты избежишь непредсказуемых багов, когда образ “вдруг” стал другим — особенно важно для CI/CD и продакшена.