add 指令自 docker 17.05+ 起已禁用远程 url 下载功能，因其破坏构建可重现性、缓存与安全性；应改用 run + curl/wget 下载，并校验、清理临时文件。
ADD 指令本身不支持直接下载远程 URL（如 HTTP/HTTPS 链接），这是 Docker 官方明确限制的行为。自 Docker 17.05+ 起，ADD 对远程 URL 的支持已被移除，尝试使用会报错：ADD does not support remote URLs。因此，“用 ADD 下载远程资源”在现代 Docker 中已不可行，也不推荐。
为什么不能用 ADD 下载远程文件
Docker 设计上要求构建过程可重现、可缓存、可审计。ADD 若允许拉取远程内容，会导致镜像构建不稳定（URL 失效、内容变更、网络失败）、破坏层缓存、引入安全风险（无法验证来源）。所以官方彻底禁用了该功能。
正确替代方案：用 RUN + curl 或 wget
推荐在 RUN 指令中结合 curl 或 wget 下载远程资源，并配合清理临时文件，保持镜像精简：
- 基础写法（带错误检查和清理）：
RUN curl -fsSL https://example.com/file.tar.gz | tar -xzf - -C /app/ && \ rm -f /tmp/file.tar.gz - 更健壮的写法（显式下载 + 校验 + 解压）：
RUN curl -fsSL -o /tmp/app.zip https://github.com/user/repo/archive/v1.0.zip && \ unzip -q /tmp/app.zip -d /app && \ rm -f /tmp/app.zip - 若需 SHA256 校验（强烈建议用于生产）：
RUN curl -fsSL -o /tmp/binary https://example.com/binary && \ echo "a1b2c3... /tmp/binary" | sha256sum -c - && \ chmod +x /tmp/binary && \ mv /tmp/binary /usr/local/bin/tool
进阶技巧：多阶段构建中安全下载
若下载的是构建时依赖（如编译工具、源码），应放在 builder 阶段，避免污染最终镜像：
FROM alpine:latest AS builder
RUN apk add --no-cache curl make gcc && \
curl -fsSL https://example.com/src.tgz | tar -xzf - && \
cd src && make install DESTDIR=/out
<p>FROM alpine:latest
COPY --from=builder /out/usr/local/bin/mytool /usr/local/bin/mytool
</p>
常见误区提醒
-
不要写
ADD https://... /dest—— 构建必然失败； - 避免在
RUN中不清理下载文件（如curl -O后不rm），否则增大镜像体积； - 不要用
COPY替代下载 ——COPY只能复制本地上下文中的文件，无法访问远程； - 企业环境中建议通过私有制品库（如 Nexus、Harbor）托管二进制，而非直连公网 URL。
不复杂但容易忽略：用对指令、加校验、做清理，才是稳定构建的关键。
