关键在于优化copy顺序以复用缓存：先单独copy依赖文件（如package.json、requirements.txt）并安装，再copy频繁变更的源码；配合.dockerignore排除干扰项及多阶段构建，使依赖层稳定命中缓存，大幅缩短微服务构建时间。

关键不是“用了COPY”，而是让COPY真正复用缓存层——微服务打包耗时从几分钟降到几十秒，靠的是一次精准的顺序调整和几处克制的排除动作。

把依赖文件放在最前面COPY

微服务代码天天改，但requirements.txt或package.json通常几天甚至几周才变一次。把它们单独拎出来先复制，就能锁住依赖安装层：

• COPY requirements.txt . → 紧接着 RUN pip install -r requirements.txt
• COPY package.json package-lock.json . → 紧接着 RUN npm ci --no-audit
• 只要这些清单没动，后续构建中这一步永远显示 Using cache，不下载、不解析、不解压

源码复制必须放到最后

业务逻辑、配置、脚本、测试文件……这些加起来可能每小时都在变。一旦它们混在早期COPY里，整条构建链就废了：

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• ❌ 错误写法：COPY . . 放在第二行 → 每次git commit都会让后续所有层重建
• ✅ 正确位置：COPY src/ ./src/ 或 COPY app/ ./app/，放在依赖安装之后、CMD之前
• 这样改一行Python或JS，只触发最后一两层重建，前面的基础镜像、系统工具、依赖包全复用

用.dockerignore砍掉干扰项

Docker构建上下文不是“你认为要传什么”，而是“你没说不传什么”——默认会把整个目录打包上传。无关文件会悄悄破坏哈希校验：

• 在项目根目录建 .dockerignore，至少包含：node_modules、.git、__pycache__、logs/、*.log、tests/
• 避免 COPY . . 这种宽泛写法；如只需配置和源码，就明确写 COPY config.yaml src/ .
• 上下文体积小了，传输快了，哈希更稳定，缓存命中率自然上升

配合多阶段构建隔离污染

微服务常含编译步骤（Go/Rust/Java），构建工具链体积大、易变，若和运行时混在一起，一改CI脚本就重跑整个镜像：

• 构建阶段：FROM golang:1.22 AS builder → COPY . . → go build
• 运行阶段：FROM alpine:3.19 → COPY --from=builder /src/app .
• 两个阶段各自缓存独立：改了Dockerfile里构建参数，不影响运行镜像层；改了业务代码，也不带入go命令和$GOROOT