slim镜像是生产就绪的最小可信基线，基于alpine或debian-slim，体积小60%+、攻击面窄、默认非root运行；安全策略需按依赖顺序include，内核参数应依实际环境调优，多阶段构建可进一步精简。
直接用官方 Slim 镜像打底，再叠加安全头、内核参数适配和运行时精简，比自己从零构建更稳、更小、更安全。
选对基础镜像：Slim 是默认起点
Slim 镜像（如 nginx:1.29.6-alpine-slim 或 nginx:1.29.6-debian-slim）不是“阉割版”，而是生产就绪的最小可信基线：
- 基于
alpine:3.22.2或debian:12-slim，体积比标准镜像小 60%+，攻击面显著收窄 - 移除了
vim、curl、bash等非必需工具，避免被用于容器逃逸或横向移动 - 已默认以非 root 用户（
nginx）运行，满足最小权限原则 - 不建议混用 Alpine + glibc 应用，若业务依赖 glibc，优先选
debian-slim
安全加固：分层 include，顺序不能错
安全策略不是堆配置，而是按依赖关系逐层加载。推荐直接复用 h5bp/server-configs-nginx 的 security/ 目录，但必须显式控制顺序：
-
include /etc/nginx/h5bp/security/cross-origin-policy.conf;—— 放最前，为后续 CSP 的frame-ancestors预留生效空间 -
include /etc/nginx/h5bp/security/content-security-policy.conf;—— 依赖上一条，否则会被覆盖 -
include /etc/nginx/h5bp/security/strict-transport-security.conf;—— 要求 HTTPS 已就绪；若用自签名证书，浏览器会静默拒绝，不是报错 -
include /etc/nginx/h5bp/security/permissions-policy.conf;—— 如含geolocation、camera等指令，仅在 HTTPS 下生效（Chrome 124+ 强制）
性能与内核协同调优：别硬套“高配参数”
容器里调优不是照搬物理机配置。关键看实际运行环境：
-
worker_processes auto;可用，但worker_cpu_affinity auto;在单核 VM 或 Docker 默认限制下反而增加调度开销，应禁用 -
gzip_comp_level 6;是性价比拐点；设为 9 且未配gzip_buffers，会导致 CPU 持续 95%+、延迟翻倍 -
sendfile on;和tcp_nopush on;对静态文件友好，但代理 WebSocket 或 gRPC 时可能引发帧粘包，这类流量建议关闭 -
client_max_body_size不要全局设成 1G；应在 location 块中按接口粒度控制，防止绕过上传校验逻辑
轻量化构建：三阶段才是真 Slim
官方 Slim 镜像只是起点。进一步压缩需多阶段构建，尤其适用于自定义编译或集成 NJS 模块的场景：
-
构建阶段：用
golang:1.22-alpine编译二进制，完成后清理 build 工具链 -
基础阶段：用
alpine:3.22.2，只装ca-certificates和tzdata - 最终阶段：仅 COPY 编译好的二进制 + nginx 配置 + 必要的 SSL 证书，不带任何源码或构建残留
- 避免把 18 个系统包全装进一层；拆分安装步骤可提升缓存命中率，改一个包不重拉整个镜像
