Entendendo a instrução ONBUILD no Dockerfile e seus riscos na produção

A instrução ONBUILD no Dockerfile é uma ferramenta poderosa, mas que pode gerar dor de cabeça se mal utilizada. Ela permite que comandos sejam executados automaticamente em imagens derivadas, o que pode facilitar o fluxo de build em certos cenários.

Porém, o problema surge quando essa automação não é bem controlada ou entendida, principalmente em ambientes de produção. Imagine uma imagem que tem uma instrução ONBUILD que executa scripts de configuração ou testes, e você acaba herdando esses passos sem perceber. Pode gerar riscos de segurança, performance ou até falhas inesperadas na hora do deploy.

Na minha visão, o ideal é usar ONBUILD com muita cautela, sabendo exatamente o que ela vai disparar. Em ambientes de produção, prefiro evitar esse tipo de automação, ou pelo menos deixar bem claro o que está acontecendo. A documentação do Docker, inclusive, não ajuda muito a entender o impacto real, e isso pode fazer a gente cair em armadilhas. Sem esse critério, a solução pode parecer simples no começo e cara no suporte.

Alguém aqui já passou por uma situação difícil por causa de ONBUILD? Como vocês controlam esse risco na prática?