当基础镜像是带有固定默认标签的构建 ARG 时,CKV_DOCKER_7 会产生假阳性

描述问题 CKV_DOCKER_7 ("确保基础镜像使用非最新版本标签") 标记了 FROM ${ARG} 指令使用了 latest 标签,尽管 FROM 行中使用的 ARG 具有默认值,该默认值指定了特定的非最新版本。Checkov 似乎将任何 FROM ${VAR} 视为未解析的 latest 标签,而不是解析同一个 Dockerfile 中早期声明的 ARG 的默认值。