ENTRYPOINT 不提升性能但增强反向代理容器健壮性、可复用性和启动可控性；推荐直接指定代理进程为 PID 1，结合 CMD 实现参数覆盖，并可用轻量 entrypoint 脚本初始化但须以 exec "$@" 结尾。

ENTRYPOINT 本身不提升性能，但合理使用它能让反向代理容器更健壮、可复用、启动行为更可控——这是构建高性能反向代理服务的关键基础之一。

用 ENTRYPOINT 封装启动逻辑，避免 shell 启动开销

Docker 默认以 /bin/sh -c 执行 CMD，会多一层进程、延迟启动、干扰信号传递。反向代理（如 Nginx、Caddy、Envoy）对响应延迟和信号处理敏感，应绕过 shell。

推荐写法：

ENTRYPOINT ["/usr/bin/nginx", "-g", "daemon off;"]
# 或 Caddy：
ENTRYPOINT ["/usr/bin/caddy", "run", "--config", "/etc/caddy/Caddyfile"]

这样容器 PID 1 就是代理进程本身，能直接接收 SIGTERM、支持热重载、避免僵尸进程。

结合 CMD 实现灵活配置覆盖

ENTRYPOINT 固定主程序，CMD 作为默认参数，允许运行时覆盖：

• Dockerfile 中定义：

ENTRYPOINT ["/usr/bin/nginx"]
CMD ["-g", "daemon off;"]

• 启动时可动态传参：docker run my-proxy -g "daemon off; error_log /dev/stderr info;"
• 配合健康检查或脚本注入配置时，CMD 可被替换，ENTRYPOINT 保持不变，职责清晰

用 ENTRYPOINT 做轻量初始化（非重度配置生成）

若需少量预处理（如渲染模板、校验配置、等待上游就绪），可用短小的 shell 脚本封装 ENTRYPOINT，但必须以 exec "$@" 结尾，确保 PID 1 正确移交：

# entrypoint.sh
#!/bin/sh
set -e
# 检查配置语法
nginx -t
# 替换环境变量（简单 sed）
envsubst  /etc/nginx/conf.d/default.conf
# 关键：用 exec 交出 PID 1 控制权
exec "$@"

再在 Dockerfile 中声明：

COPY entrypoint.sh /entrypoint.sh
RUN chmod +x /entrypoint.sh
ENTRYPOINT ["/entrypoint.sh"]
CMD ["nginx", "-g", "daemon off;"]

注意：避免在 entrypoint 中做耗时操作（如下载证书、拉取远程配置），这会拖慢启动；高频更新配置建议用挂载或 sidecar 同步。

对比纯 CMD：为什么 ENTRYPOINT 更适合生产反向代理

• 可复用性高：镜像可作为基础层被其他服务继承，子镜像只需改 CMD，无需重复定义启动命令
• 误操作防护强：用户执行 docker run my-proxy bash 时，若只用 CMD 会直接启动 bash；而用 ENTRYPOINT + CMD，bash 会被当作参数传给 nginx（报错失败），反而防止意外进入容器破坏状态
• 与编排工具协同好：Kubernetes 的 args 字段会覆盖 CMD，但保留 ENTRYPOINT，便于统一管理基础运行时行为