docker官方自20.10起彻底移除--squash参数，执行报错unknown flag: --squash；真正压缩镜像、清除冗余的关键是多阶段构建——第一阶段编译，第二阶段仅复制必需产物，确保中间文件和敏感内容从不进入最终镜像。
Docker 官方早已不支持 --squash，它在 20.10 版本中被彻底移除，执行会直接报错 unknown flag: --squash。所谓“配置 Squashing”不是开关没开、插件没装的问题，而是这个功能本身已不存在。它从来就不能“消灭历史层残留的无谓物理体积”——因为所有写入过的文件（哪怕后续被 rm）都真实存在于对应层的文件系统快照中，合并层 ≠ 删除内容。
真正能减少镜像体积、清除冗余数据的，是让敏感或临时内容根本不出现在最终镜像里，而不是试图事后“压扁”或“擦除”。
多阶段构建：从源头杜绝冗余层
这是最可靠、最可审计、BuildKit 默认启用的方式。
- 第一阶段用完整工具链（如
golang:1.22或node:20）完成编译、下载、测试等操作； - 第二阶段仅用极简运行时基础镜像（如
alpine:3.20或distroless/static），只COPY --from=builder必需产物（如二进制、静态资源、配置模板）； - 所有中间产物（
/usr/src、node_modules、.git、/tmp/*.tar.gz、APT 缓存）完全不会进入最终镜像，自然没有残留问题。
RUN 指令内联清理：避免跨层污染
任何临时文件、密钥、压缩包、安装缓存，必须和清理动作写在同一行 RUN 中：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- ✅ 正确：
RUN curl -sL https://api.example.com/key | tee /tmp/key && myapp --auth /tmp/key && rm -f /tmp/key - ❌ 错误：
RUN curl -sL https://api.example.com/key > /tmp/key RUN myapp --auth /tmp/key && rm -f /tmp/key
第二行会单独成层，
/tmp/key仍完整保留在第一层中。
构建前严格过滤上下文
用 .dockerignore 排除所有不该进镜像的文件：
-
.git、.env、secrets/、*.pem、*.log、Dockerfile.dev、test/ - 避免
ADD . /app把整个项目目录拖进镜像，再靠RUN rm -rf补救——那只是掩耳盗铃。
如果非要物理合并层，选 docker-squash 或 oci-squash，但须接受代价
-
docker-squash需连接 Docker daemon，支持按层数或 layer ID 合并，适合 CI 环境快速瘦身； -
oci-squash是离线版，直接操作 tar 包，适合 air-gapped 环境或安全审计前固化终态； - 两者都会丢失全部元数据（
ENV、EXPOSE、ENTRYPOINT、HEALTHCHECK），必须手动补全，否则镜像无法启动； - 它们不扫描或删除特定文件，只是重算 diff、合并 whiteout，对已存在的敏感数据毫无作用。
真正安全的精简，不在“怎么压”，而在“什么不该放进去”。
