Dockerfile中RUN指令安装系统依赖包的规范流程-Docker-PHP中文网

RUN指令安装依赖应坚持最小化、可复现、分层合理原则：合并安装与清理于单层，用&&连接并清除缓存；Debian/Ubuntu用--no-install-recommends，CentOS用--setopt=install_weak_deps=False，Alpine用--no-cache；按功能分组依赖，构建时与运行时分离；关键包需固定版本以保障可重现性。

dockerfile中run指令安装系统依赖包的规范流程

RUN 指令安装系统依赖应聚焦“最小化、可复现、分层合理”三个核心原则，避免直接写多个 apt-get install 或 yum install 命令堆叠，尤其要规避缓存失效和残留包问题。

合并安装与清理操作（推荐单层执行）

将包安装和临时文件清理放在同一 RUN 中，防止中间层残留 apt/yum 缓存或未清理的构建依赖。例如 Debian/Ubuntu 系统应这样写：

用 && 连接命令，确保前一步失败时整行中断
安装后立即删除包管理器缓存（apt-get clean）和临时列表（rm -rf /var/lib/apt/lists/*）
不单独运行 apt-get update，除非后续有自定义源或特定版本需求

示例（Debian/Ubuntu）：

RUN apt-get update && \
    apt-get install -y --no-install-recommends \
        curl \
        wget \
        libpq5 \
        && apt-get clean && \
    rm -rf /var/lib/apt/lists/*

使用 --no-install-recommends（精简体积）

Debian/Ubuntu 默认会安装推荐包（recommends），这些非必需依赖会显著增大镜像体积且可能引入冗余服务。显式添加该参数是最佳实践。

CentOS/RHEL 系统对应使用 --setopt=install_weak_deps=False（yum v4+）或 --exclude=* 配合白名单
Alpine 使用 apk add --no-cache，它自动跳过索引缓存并清理临时文件

按功能分组、避免跨阶段混装

不同用途的依赖应分离到不同 RUN 层，便于缓存复用和权限控制：

基础工具（curl、tar、gzip）放在早期层，供后续步骤复用
构建时依赖（如 gcc、make、cmake）应在独立层安装，并在编译完成后立即卸载（或仅用于 multi-stage 构建的 builder 阶段）
运行时依赖（如 libssl、libglib）必须出现在最终镜像中，且不应包含开发头文件（如 *-dev 或 *-devel）

错误示例（混装且未清理）：

RUN apt-get update && apt-get install -y build-essential
RUN ./configure && make && make install
RUN apt-get install -y libpng16-16

正确做法：构建依赖放 builder 阶段；运行依赖单独安装，且不带 -dev 后缀。

固定包版本提升可重现性

不指定版本可能导致不同时间构建结果不一致。对关键依赖建议锁定版本号：

Debian/Ubuntu：package=1.2.3-4（注意含 epoch 和 revision）
Alpine：package-1.2.3-r0
避免使用通配符（如 libpq*）或模糊表达式（如 >=1.0）

小提示：可用 apt list --installed | grep xxx 在调试镜像中确认实际安装版本，再反向写入 Dockerfile。