关键靠ARG与ENV分工：ARG在构建时动态控制镜像内容（如版本、安装策略），不进入镜像；ENV设运行时默认值，再通过-e或--env-file外部覆盖，结合多阶段构建实现环境隔离与安全配置。
靠一份 Dockerfile 同时适配开发、测试、生产环境，关键不是写多套文件，而是把“变”的部分抽出来，让构建和运行两个阶段各司其职。核心就两条线：构建时用 ARG 控制镜像生成逻辑，运行时用 ENV + 外部传参控制容器行为。
构建阶段：用 ARG 动态决定镜像内容
ARG 是构建时的“临时开关”，只在 docker build 过程中生效，不进最终镜像，适合版本号、配置路径、安装策略这类一次性决策。
- 在 Dockerfile 开头声明带默认值的参数，比如：
ARG NODE_VERSION=18、ARG APP_ENV=production - 用这些参数影响 FROM 镜像选择（如
FROM python:${PY_VERSION}-slim）或 RUN 命令逻辑（如根据APP_ENV决定执行npm install还是npm ci --only=production） - 构建时覆盖参数：
docker build --build-arg APP_ENV=development -t myapp:dev .
运行阶段：用 ENV + 外部注入控制容器行为
ENV 是写入镜像的环境变量，运行时仍有效；但更推荐启动时用 -e 或 --env-file 覆盖，避免敏感信息固化在镜像里。
- Dockerfile 中设合理默认值：
ENV PORT=3000、ENV NODE_ENV=production - 启动容器时动态传参：
docker run -e DB_URL=xxx -e LOG_LEVEL=debug myapp:latest - 批量配置可用
.env文件：docker run --env-file ./prod.env myapp:latest，文件内容格式为KEY=VALUE每行一个
进阶组合：多阶段 + 构建参数实现镜像级隔离
当不同环境需要完全不同的依赖或配置文件时，可结合多阶段构建与 ARG，让最终镜像只含当前环境所需内容。
- 定义基础阶段（公共依赖），再分
dev、prod等命名阶段，各自 COPY 对应配置文件（如config-dev.yaml或config-prod.yaml） - 用 ARG 控制最终使用哪个阶段：
FROM ${ENV} as final - 构建命令明确指向目标环境：
docker build --build-arg ENV=prod -t myapp:prod .
安全与维护提醒
不要在 Dockerfile 里硬写密码、密钥或内网地址；敏感配置优先走 --env-file 或 Docker Secrets（Swarm 模式）；所有 ARG 默认值要设合理，避免未传参时构建失败。
