微软官方精简基础镜像（如mcr.microsoft.com/dotnet/runtime:8.0-alpine）专为轻量、安全、快速启动设计，适用于高并发核信类业务，体积小、攻击面窄、启动快，配合多阶段构建、r2r/trim优化、非root运行及资源限制等措施，全面提升生产环境稳定性与安全性。
微软官方精简基础镜像（如 mcr.microsoft.com/dotnet/runtime:8.0-alpine、mcr.microsoft.com/dotnet/aspnet:8.0-alpine 或 mcr.microsoft.com/dotnet/sdk:8.0-alpine）专为轻量、安全、快速启动设计，特别适合部署高并发核信类业务（如短信网关、身份核验API、实时风控接口等）。这类业务通常要求低延迟、高吞吐、强稳定性，且需严格控制攻击面——精简镜像恰好满足。
优先选用 Alpine 或 Nano Server 镜像变体
Alpine（Linux）镜像体积小（通常 windows-servercore 镜像，它们体积大、补丁多、冷启动慢。
构建阶段必须分层优化
- 使用多阶段构建：SDK 镜像仅用于编译，运行时只 COPY 发布产物到 runtime 镜像
- 删除调试符号、XML 文档、NuGet 缓存和未使用的本地化资源（通过
dotnet publish --strip-symbol --no-restore --self-contained false） - 启用 ReadyToRun（R2R）和 Trim（针对 .NET 8+）：
dotnet publish -c Release -r linux-x64 --self-contained false /p:PublishTrimmed=true /p:TrimMode=partial
运行时需显式加固与调优
- 设置非 root 用户运行：
USER dotnet（提前在镜像中创建该用户） - 限制内存/CPU：Kubernetes 中配置
resources.limits.memory=512Mi、requests.cpu=200m，避免核信服务因资源争抢导致超时 - 启用 HTTP/2 和连接复用：ASP.NET Core 中配置
KestrelServerOptions.ConfigureHttpsDefaults并启用Http2Support - 核心线程池调优：在
Program.cs中设置ThreadPool.SetMinThreads(100, 100)（根据压测结果微调），防止高并发下线程饥饿
核信业务特有的部署要点
- 短连接 + 限流熔断：用
Microsoft.AspNetCore.RateLimiting按 IP/Key 维度限流，搭配 Polly 实现下游核验接口的熔断降级 - 敏感凭证不进镜像：将短信通道密钥、CA 证书、国密 SM4 密钥等通过 Azure Key Vault 注入为环境变量或挂载为 CSI Secret Volume
- 日志与追踪对齐核信审计要求：启用
Activity.DefaultIdFormat = ActivityIdFormat.W3C，集成 Application Insights，并确保 trace ID 贯穿请求全链路（含调用第三方核验平台）
不复杂但容易忽略。
