copy指令仅能复制构建上下文内的文件，必须确保源路径为docker build执行目录下的相对路径；应配合.dockerignore过滤冗余内容，按变更频率分层copy以优化缓存，并用--chown显式设定属主权限以保障安全。
COPY 指令是把宿主机本地代码同步进镜像最直接、最可控的方式，但“安全同步”不只是复制成功，更在于路径可控、内容精简、权限合理、构建可重现。
确保文件在构建上下文内
docker build 只能访问执行命令时所在目录（即构建上下文）及其子目录里的文件。Dockerfile 中的 COPY 源路径必须是相对于这个根目录的相对路径。
- ✅ 正确：项目根目录下有 src/ 和 Dockerfile，执行
docker build -t myapp .，Dockerfile 写COPY src/ /app/src/ - ❌ 错误：Dockerfile 写
COPY /home/user/project/src/ /app/src/—— 宿主机绝对路径不被识别，构建失败 - ⚠️ 注意：IDE 生成的
.idea、__pycache__、node_modules等默认也在当前目录，若未排除，可能意外打入镜像
用 .dockerignore 过滤冗余与敏感内容
在执行 COPY 前，.dockerignore 就已生效，它决定哪些文件根本不会进入构建上下文——这是第一道安全防线。
- 在 Dockerfile 同级目录创建
.dockerignore，写入：
.env
secrets/
*.log
__pycache__
venv
node_modules
- 即使后续用了
COPY . /app，这些条目也不会上传，既提速又防密钥泄露 - 推荐始终显式 COPY（如
COPY requirements.txt .→COPY src/ /app/src/），再配合 .dockerignore 双重保障
按变更频率分层 COPY，提升缓存复用率
Docker 构建缓存从上到下逐层比对，一旦某层变动，其后所有层都会重建。把不易变的文件（如依赖声明）放在前面复制，能大幅减少重复构建时间。
- Python 示例：
RUN pip install --no-cache-dir -r requirements.txt
COPY src/ /app/src/
- 只要
requirements.txt不变，pip 安装这层就命中缓存；改了代码只重建最后一层 - 避免
COPY . .—— 一个 README 修改就会让整个依赖安装重新跑一遍
用 --chown 显式设定属主，避免 root 权限风险
默认 COPY 的文件归 root 所有。若应用以非 root 用户运行（强烈建议），需提前设置权限，否则启动时读取配置或写日志会失败。
- 语法：
COPY --chown=appuser:appgroup config.yaml /etc/myapp/ - 支持用户名/组名，也支持 UID/GID（如
--chown=1001:1001），适合无用户定义的基础镜像 - 搭配
USER appuser指令使用，确保运行时身份与文件权限匹配，符合最小权限原则
