在Docker中处理安全补丁

Question

我已经构建了一个Dockerfile和docker-compose来对付开源项目的标签。每隔几个月，项目团队就会发布使用“ MAJOR.minor.patch-relase”语法（即：3.1.2-4）命名的标签，并且每次创建标签时，dockerHub都会生成一个新映像，所以我只是需要停止我的容器，在docker-compose中更改版本，然后再次升高容器以获取修补代码的最新版本（或使用“最新”标签）。直到这里，所有的作品都像魅力一样，但是...

问题是，有时在标签之间会发布一些零日安全补丁程序（而不是标签），因此在生成新映像之前，需要在我的容器上应用一个或多个补丁程序。

所以，我想知道这些策略的优点/缺点是什么

1. 再次将git添加到容器中以挑选我现有的特定更改 容器？
2. 避免git（以使容器轻巧），而只覆盖更改的文件（对于 例如，使用使用wget完成工作的bash脚本）？
3. 在容器外捡樱桃并将更改应用于 特定文件。
4. 集成（通过docker-compose）一个神奇的附加项目以跟踪这些更改吗？
5. 问项目负责人要经常发布吗？
6. 以上都不是...

感谢您的帮助。