多阶段构建是docker 17.05引入的核心特性，通过单dockerfile内多个from指令分离构建与运行阶段，实现镜像体积压缩（如node.js应用从数百mb降至百mb内）、提升安全性（剔除构建工具和开发依赖）及增强可维护性。
用Docker搭建符合微服务治理规范的DevOps自动化体系，核心是让每个微服务具备独立构建、隔离运行、可配可控、可观可溯的能力。关键不在堆工具，而在通过容器化统一环境语义、用声明式配置替代手工操作、以服务注册发现支撑动态拓扑、靠标准化流水线保障发布质量。
基于Dockerfile定义可验证的微服务单元
每个微服务必须提供生产就绪的Dockerfile，作为其交付契约：
- 固定基础镜像版本，如openjdk:17-jre-slim而非openjdk:latest，杜绝镜像漂移
- 强制采用多阶段构建：编译阶段装Maven/Gradle，运行阶段仅复制target/*.jar，镜像体积压至100MB以内
- 敏感配置（数据库密码、密钥）不写入镜像，改用--build-arg BUILD_ENV=prod传参（仅限构建期），或运行时挂载Kubernetes Secret
- 暴露标准健康端点：/actuator/health（Spring Boot）或/healthz（通用），供服务发现与自愈调用
用CI流水线实现微服务级原子发布
每个微服务代码仓库绑定独立CI流程，避免“大单体式”流水线：
- 代码提交后，自动拉取依赖并执行单元测试+接口契约测试（如Pact），失败即阻断
- 构建镜像时打双重标签：v2.4.0（语义化） + git-7f3a1b2（精确溯源）
- 推送至私有Harbor，并触发Trivy同步扫描——高危漏洞（CVSS≥7.0）自动拦截发布
- 根据分支策略分流：push到feature/* → 启动临时预览环境；merge到main → 触发生产集群滚动更新
通过Kubernetes+服务网格落地治理能力
Docker容器只是运行载体，治理能力需由编排层和数据平面协同提供：
- 每个微服务部署为独立Deployment，副本数、资源限制、就绪探针（readinessProbe）全部声明式定义
- 用Service做服务发现基座，配合Istio或Kong Ingress实现细粒度流量管理：灰度发布按Header路由、熔断超时配置、请求级追踪ID注入
- 配置中心解耦：非密钥配置走ConfigMap + Reloader热更新；密钥类数据用Secret + Vault Injector自动注入内存卷
- 强制启用Pod安全策略（PSP）或Pod Security Admission，禁止privileged容器、只读根文件系统、非root用户运行
构建面向微服务的可观测性闭环
可观测性不是日志+监控+链路三件套拼凑，而是围绕服务生命周期设计反馈回路：
- CI阶段嵌入SonarQube代码质量门禁，覆盖率＜75%或圈复杂度＞15则拒绝合并
- 部署后自动执行冒烟测试（Smoke Test）：调用各服务/actuator/health + 关键业务API，5秒无响应即回滚
- 统一采集容器指标（cAdvisor）、应用日志（Loki+Promtail）、分布式链路（Jaeger），Grafana看板按服务维度聚合SLA、错误率、P99延迟
- 告警规则绑定服务名标签，例如service="payment-service"的5xx错误率>0.5%持续2分钟，直接通知该服务Owner
