Docker 镜像构建最佳实践
Dockerfile 十大最佳实践：多阶段构建瘦身、基础镜像选型、版本锁定、层缓存优化、包管理器清理、.dockerignore、临时容器设计、ENV/COPY/ADD 正确使用、非 root 运行、WORKDIR。附正反例对照。
直接回答：好镜像 = 小 + 安全 + 可复现：多阶段构建只带运行时产物、基础镜像选 slim/alpine/distroless、版本全部锁死（不用 latest）、层缓存按"变动频率"排序指令、构建依赖用完即删、.dockerignore 排除无关文件、容器以非 root 用户运行。
核心实践清单
1. 多阶段构建：编译在 builder 阶段，最终镜像只 COPY 产物——收益取决于依赖与构建产物。
FROM golang:1 AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 go build -o /out/server .
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /out/server /server
ENTRYPOINT ["/server"]
示例假设仓库根目录为可执行 Go 包，有 go.mod/go.sum 且不依赖 cgo；生产选受支持版本并固定审核过的 digest。
2. 基础镜像选型：slim 平衡兼容与体积；Alpine 基础层通常较小，但 musl 与原生依赖兼容性需验证，最终应用镜像不一定最小；distroless 通常不带 shell，可减少不必要组件，但不等于绝对安全。
3. 锁定版本：版本标签仍可被覆盖；精确固定产物要使用 digest，并定期更新安全补丁。
4. 层缓存优化：变动少的指令放前面（依赖清单先 COPY 装依赖，源码后 COPY）——代码改动不触发依赖重装。
5. 包管理器清理：在 Debian/Ubuntu 基础镜像中，把安装与清理放在同一 RUN；例如安装 CA 证书：
RUN apt-get update \
&& apt-get install -y --no-install-recommends ca-certificates \
&& rm -rf /var/lib/apt/lists/*
软件包按应用实际依赖选择；删除索引不会自动删除构建工具，应通过多阶段构建隔离。
6. .dockerignore：排除 .git、本地 node_modules 和不参与构建的文件；文档与测试若用于构建则不能排除——构建上下文传输提速，镜像不夹带。
7. 临时容器设计：容器可随便销毁重建——状态进卷或外部存储，日志输出到 stdout。
8. COPY 优于 ADD：ADD 的自动解压/URL 功能是隐患；ENV 只设真环境变量。
9. 非 root 运行：USER app——降低权限风险，不替代宿主机补丁、capabilities 与 seccomp。
10. WORKDIR 替代 RUN cd：cd 不跨指令生效，WORKDIR 才是正确姿势。
每次更换基础镜像后，比较镜像大小、启动时间和相同负载下的资源使用，并检查 HTTPS、时区和动态库依赖。体积缩小但请求失败的镜像不能作为优化结果；漏洞扫描与兼容性测试也应保留在发布流程中。
常见问题（FAQ）
Q：多阶段构建镜像里能留调试工具吗？
A：是否保留 shell 取决于安全和排障需求；按可用版本与授权使用 docker debug（新特性）或临时 sidecar 容器，不污染生产镜像。
Q：层数多会影响性能吗？
A：层数、层内容、缓存命中和存储驱动都会影响构建、拉取、解压及运行开销。应测量实际瓶颈，不仅以层数多少优化。
Q：镜像多大算大？
A：没有通用体积门槛。Go/Rust 是否能生成静态产物取决于 libc、cgo/FFI 和链接方式；动态库、CA 证书、时区、资源文件也可能必须保留。以同一应用的分层清单和构建前后数据判断，而不是规定几十 MB。
官方参考
本文依据官方文档整理，示例未在本文中进行运行验证。生产部署需按所用版本、权限和实际负载验证。
