Provenance issue with public repository

Đang mở

#193 mở ngày 7/5/2026 2 bình luận 0 reaction 0 người được giao Xem trên GitHub

Chưa có ai nhận issue này.

Đánh giá

Độ khó: 4/5
Thời gian dự kiến: 3-5 ngày
Mức phù hợp với người mới: 45/100

Loại issue: Lỗi
Độ rõ ràng: Khá rõ ràng
Mức độ hoạt động: Ít trao đổi
Công nghệ: docker, github-actions
Lĩnh vực: ci-cd, devops, security

Hướng nghiên cứu

Bắt đầu với .github/workflows/publish.yml quanh dòng 176 và .github/workflows/build.yml được ghim ở v1.6.0, sau đó so sánh cấu hình build của chúng với lệnh docker buildx đang hoạt động. Tái tạo workflow và kiểm tra image kết quả bằng docker buildx imagetools; issue hoàn tất khi cấu hình được hỗ trợ hoặc giới hạn đã được xác định, đồng thời hành vi provenance đã được ghi lại hoặc sửa lỗi.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

status/triage

Contributing guidelines

I've read the contributing guidelines and wholeheartedly agree

I've found a bug, and:

The documentation does not mention anything about my problem
There are no open or closed issues that are related to my problem

Description

Hello,

My repository is public (https://github.com/nsphung/mcp-snowflake-server/blob/main/Dockerfile). And from my understanding, using docker/github-builder (docker/github-builder/.github/workflows/build.yml@7d2a02426d4b989616ba5aaee4e879afd4134b0d # v1.6.0), it should use docker/buildx provenance = mode=max,version=v1. But I don't have the expected results.

Expected behaviour

This is what I have without using docker/github-builder:

docker buildx imagetools inspect nsphung/mcp-snowflake-server-nsp:0.8.0 --format "{{ json .Provenance.SLSA }}"
# This one is working

This was build with:

docker buildx build \                                                     
    --tag nsphung/mcp-snowflake-server-nsp:0.8.0 \      
    --sbom=true \                 
    --attest type=provenance,mode=max,version=v1 \
    .

Is there any way to have the same feature in docker/github-builder ? Or maybe I'm missing a configuration.

Actual behaviour

docker buildx imagetools inspect nsphung/mcp-snowflake-server-nsp:0.11.2 --format "{{ json .Provenance.SLSA }}"
null%

Here we can see null when inspecting for provenance.

Repository URL

https://github.com/nsphung/mcp-snowflake-server/tree/main

Workflow run URL

https://github.com/nsphung/mcp-snowflake-server/actions/runs/25457043001

YAML workflow

You can checkout the yaml at:

https://github.com/nsphung/mcp-snowflake-server/blob/main/.github/workflows/publish.yml#L176

Workflow logs

No response

BuildKit logs

Additional info