核心思路是让构建过程完全不依赖实时网络，把所有需要的依赖提前准备好，再通过本地方式注入镜像；具体包括离线包预装、预置换源基础镜像、多阶段构建分离联网操作，以及必要时传入代理和自签名证书。
核心思路是让构建过程完全不依赖实时网络，把所有需要的依赖提前准备好，再通过本地方式注入镜像。
用离线包预装依赖
这是最直接、最可控的方式。在能联网的机器上，把构建所需的所有安装包（deb/rpm/wheel/tgz）一次性下载齐全，再复制到内网构建机使用。
- Debian/Ubuntu：用
apt download下载 deb 包及其全部依赖，Dockerfile 中用apt install ./xxx.deb安装 - CentOS/RHEL：用
yumdownloader --resolve批量拉取 rpm，再用rpm -ivh *.rpm或dnf install --disablerepo=* --enablerepo=local安装 - Python 项目：运行
pip download -r requirements.txt --no-deps，再补全依赖后统一下载，Dockerfile 中用pip install --find-links ./packages --no-index -r requirements.txt - Node.js 项目：用
npm ci --only=production生成干净的node_modules，整体拷贝进镜像；私有模块可用npm pack打包
预置并修改基础镜像源
如果无法改动 Dockerfile，但可以控制构建环境，就提前在宿主机准备一个“已换源”的基础镜像。
- 拉取原始镜像，例如
docker pull ubuntu:22.04 - 启动临时容器，替换
/etc/apt/sources.list为内网镜像源（如清华源或公司 Nexus 地址） - 提交为新镜像：
docker commit -m "use internal source" container_id my-ubuntu:22.04-offline - Dockerfile 中直接
FROM my-ubuntu:22.04-offline，后续 apt 命令就能走内网源
采用多阶段构建分离网络操作
把联网编译、打包等动作全部放在第一阶段完成，最终镜像只保留静态产物，彻底剔除构建时的网络依赖。
- 第一阶段（builder）：用标准镜像 + 可联网环境，编译 Go/Rust 二进制、构建前端 dist、打包 Java fatjar
- 第二阶段（runtime）：用 alpine 或 distroless 等精简镜像，仅
COPY --from=builder复制产物 - 关键点：确保 builder 阶段的镜像和构建逻辑稳定，以便复用缓存，跳过重复联网步骤
必要时传入代理或证书（辅助手段）
当少量联网操作确实无法避免时，不能依赖宿主机环境，必须显式配置。
- 构建时用
--build-arg http_proxy=...传入代理地址，并在 Dockerfile 中用ARG和ENV设置 - 若内网使用自签名证书，需提前把证书文件 COPY 进镜像，并在 RUN 命令中执行
update-ca-certificates - 注意：代理和证书只应在真正需要联网的步骤中启用，避免污染最终镜像
