Linter de Dockerfile (regras Hadolint)

IDs e severidades seguem as fontes do Hadolint v2.15 (DL4000 MAINTAINER=error, DL3025 CMD em shell=warning, HEALTHCHECK ausente DL3057 ignorado por padrão, opcional). A análise respeita a semântica do Dockerfile: diretiva # escape=, continuações de linha, heredocs do BuildKit (RUN <<EOF), forma de array JSON, reset de estado a cada FROM de builds multi-stage e supressão via # hadolint ignore=DLxxxx. Regras de gerenciadores de pacotes operam por tokens de comando (apt-get update sem rm -rf /var/lib/apt/lists na mesma RUN → DL3009 etc.); npm install sem @version → DL3016; pip install sem == e sem --no-cache-dir → DL3013/DL3042. BP001 é extensão da plataforma: lembrete de .dockerignore ao fazer COPY . .