copy指令本身不自动过滤文件，安全依赖显式路径、.dockerignore、多阶段构建、--chown降权及构建后验证等综合措施。
在 Docker 构建中，COPY 指令本身不带“匹配规则”逻辑，它不会自动过滤或跳过文件——它只会按你写的路径原样复制。所谓“安全匹配”，其实是靠**显式声明 + 路径约束 + 构建上下文控制**来实现的，目标是让只有真正需要的文件进入镜像，避免配置、密钥、开发日志等非必要内容意外混入。
明确指定源路径，拒绝模糊通配符
避免使用宽泛的 COPY . /app，这会把当前目录下所有文件（包括 .git、node_modules、README.md 甚至 .env.local）全塞进镜像。应逐类精简：
-
只复制源码和必需资源：例如
COPY src/ package.json /app/src/ -
分开处理构建产物：多阶段构建中，仅从 builder 阶段
COPY --from=builder /app/dist/ /usr/share/nginx/html/ -
禁用递归式根目录复制：不用
COPY * /app/，它可能漏掉隐藏文件，也可能多拷~/.bashrc类临时文件
配合 .dockerignore 文件做第一道过滤
.dockerignore 是构建前就生效的“白名单前置过滤器”，比 COPY 更早起作用。它不参与镜像层，但能防止敏感文件被上传到构建上下文：
- 必加项：
.git、.gitignore、node_modules/、__pycache__/、*.log、.env*、Dockerfile - 注意语法：
!src/可以白名单放行子目录，但需写在对应忽略规则之后 - 验证是否生效：运行
docker build --no-cache -q .后检查构建日志开头是否提示 “Sending build context (X MB)” 明显变小
用 --chown 限制文件归属，间接规避权限误带风险
即使误拷了某个文件，若它不属于 root，也难被恶意利用。通过 --chown 强制设为非特权用户，可降低风险面：
-
COPY --chown=app:app config.yaml /etc/myapp/—— 即使 config.yaml 原属 root，进镜像后也降权 - 搭配
USER app指令，确保运行时无提权可能 - 不依赖源文件原始权限，消除因本地 umask 或 chown 状态不一致导致的权限泄漏
构建后验证镜像内容，形成闭环
别只信构建过程，用简单命令抽查镜像内实际有什么：
-
docker run --rm <image> ls -la /app/</image>看是否有多余文件 -
docker run --rm <image> find /app -name "*.key" -o -name "secrets.*"</image>扫描密钥痕迹 - 对生产镜像启用
docker scan <image></image>检查暴露的敏感路径模式
