RUN指令后必须在同一层内清理临时文件，否则因Docker分层机制导致缓存残留、镜像臃肿；应将安装与清理合并为单条RUN，如apt用“&& rm -rf /var/lib/apt/lists/*”，apk加--no-cache，pip加--no-cache-dir。
在构建 Docker 镜像时，用 RUN 指令安装软件后不清理临时文件（如 apt 缓存、pip 缓存、编译中间产物等），会导致镜像体积膨胀、安全风险上升、拉取和推送变慢。关键不是“要不要清”，而是“什么时候清、怎么清才真正生效”。
为什么 RUN 后立即清理很重要
Docker 的分层机制决定了：每条 RUN 指令生成一个新镜像层。如果把安装和清理拆成两条独立的 RUN，即使第二条删了文件，第一层里那些缓存依然存在——只是被“隐藏”了，镜像体积不会减少。
正确做法是把安装、使用、清理写在同一行 RUN 中，确保所有操作发生在同一层内。
常见包管理器的清理写法（一行搞定）
Debian/Ubuntu（apt）：
RUN apt-get update && apt-get install -y curl nginx && rm -rf /var/lib/apt/lists/*
说明：
• apt-get update 必须与 install 在同一 RUN 中，否则缓存过期导致安装失败
• /var/lib/apt/lists/* 占空间最大，apt-get clean 仅清 /var/cache/apt/archives/，不够彻底
Alpine（apk）：
RUN apk add --no-cache curl nginx
说明：
• --no-cache 是关键，跳过本地包索引缓存，避免生成 /var/cache/apk/
• 不需要额外 rm -rf，比 apt 更简洁
Python（pip）：
RUN pip install --no-cache-dir flask gunicorn && pip install --no-cache-dir --upgrade pip
说明：
• --no-cache-dir 禁用 pip 缓存目录（默认在 ~/.cache/pip）
• 升级 pip 也加该参数，否则升级过程会悄悄建缓存
编译型语言要清理源码和中间产物
比如构建 Go 或 Node.js 前端项目：
- Go：用
CGO_ENABLED=0 go build静态编译，避免复制/usr/lib/gcc等依赖；构建完立即rm -rf src/ pkg/ - Node.js：先
npm ci --only=production安装生产依赖，再npm prune --production清 devDependencies；最后rm -rf node_modules/.cache
注意：不要在 COPY . . 后直接 RUN npm install，应先 COPY package*.json 单独一层，再安装，再 COPY 其余源码——这样缓存更高效，清理也更可控。
验证是否真清理成功
构建完成后别只看 docker images 总大小，要深入看层：
- 运行
docker history your-image:tag，检查每个RUN层大小，确认缓存清理层没有“虚增”体积 - 用
docker run --rm -it your-image:tag sh -c "du -sh /var/lib/apt/lists/ /root/.cache/pip 2>/dev/null || echo 'not found'"直接进容器查残留 - 工具推荐：
dive可交互式分析镜像各层内容，一眼看出哪些大文件没删干净
不复杂但容易忽略。
