适当的docker集装箱更新：拉或apt-get升级？

我想了解什么是最好的方法来保持运行容器更新在docker。 我一直在参加这个讨论：

https://stackoverflow.com/questions/26423515/how-to-automatically-update-your-docker-containers-if-base-images-are-updated/44677829#44677829

编写脚本可以帮助我查看在hub.docker.com上发布新基础映像的时间，或者在此处有可用于容器的安全更新：

https://stackoverflow.com/a/44677829/925452

• 在docker容器中使用带反向代理的nginx不起作用
• Docker化的Nginx和Gogs没有提供资源（404错误）
• Docker在生产中的持久存储 – 解决scheme和原因？
• 在Windows Server 2016上运行容器
• Nginx向两个容器提供请求

问题是，什么是“正确的”更新方式？ IE应该是“apt-get升级”：

 docker exec MYCONTAINER bash -c 'grep security /etc/apt/sources.list > /tmp/security.list; apt-get update > /dev/null; apt-get upgrade -oDir::Etc::Sourcelist=/tmp/security.list' 

然后做一个新的基础图像出来时， docker pull ？ docker pull如何影响更新的软件包？ 也许我应该做docker pull ，然后按照apt-get upgrade ？