docker离线构建的核心是切断构建时对外网依赖，将基础镜像、应用依赖、构建产物全部提前离线准备就绪：用docker load导入本地基础镜像，预下载并copy依赖包，多阶段构建分离联网与离线步骤，精简网络指令，适配内网运行时配置。

在无外网或网络受限的环境中，Dockerfile 本身不直接执行联网操作，但构建过程极易因依赖下载失败而中断。优化核心是：**切断构建时对外网的依赖，把所有远程资源提前离线准备就绪**。

提前固化所有外部依赖

容器构建阶段（RUN）最常触发网络请求，必须全部规避：

• 基础镜像改用离线导入方式：先在有网环境拉取 openjdk:11-jre-slim、python:3.9-slim 等镜像，保存为 tar 文件，再用 docker load -i base.tar 导入内网节点，Dockerfile 中 FROM 直接引用本地镜像名（如 FROM my-local-openjdk:11）
• 应用依赖打包进构建上下文：npm 包用 npm install --offline 预装并提交 node_modules；Maven 项目执行 mvn dependency:copy-dependencies 将 jar 全部复制到 target/lib；Python 用 pip download -d ./wheels 下载 wheel 包，Dockerfile 中用 COPY wheels/ /wheels && pip install --find-links /wheels --no-index
• 禁用构建时自动更新源：Alpine 镜像中避免 apk update && apk add 连用，改用 apk add --no-cache --repository https://dl-cdn.alpinelinux.org/alpine/v3.14/main（前提是该仓库地址已同步至内网 HTTP 服务）

精简网络相关指令与配置

减少非必要网络行为，降低出错面：

OpenClaw Docker Setup

在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...

下载

• 删除所有健康检查中的远程探测命令，例如 CMD 中的 curl、wget、ping 等；若需探测，改用本地端口监听检查（nc -z localhost 8080）
• 避免在 Dockerfile 中使用 RUN apt-get upgrade 或 yum update —— 这些在离线环境必然失败，且生产镜像不应依赖运行时升级
• 不写 HEALTHCHECK 指令依赖外部域名或 IP；如必须做健康检查，只检查进程或本地 socket 文件是否存在

构建流程解耦：多阶段 + 离线构建上下文

把“需要联网”的动作彻底移出 Dockerfile 构建流程：

• 第一阶段（build）在有网机器完成：编译源码、下载依赖、生成可执行包（如 app.jar、dist/ 目录），然后 docker build --target build 输出中间镜像或直接导出产物
• 第二阶段（final）纯离线：Dockerfile 使用 FROM scratch 或 FROM gcr.io/distroless/java17（提前导入），仅 COPY --from=build /app.jar /app.jar，零网络调用
• 构建上下文目录只含必需文件：删除 .git、package-lock.json（若已锁定依赖）、README.md 等非构建所需内容，防止 docker build 误触隐藏网络逻辑

运行时适配内网网络策略

构建完成后，确保容器启动不因网络配置失败：

• 禁用 DNS 自动发现：在 docker run 或 compose 中显式指定 --dns 10.10.10.10（内网 DNS 地址），避免默认使用 8.8.8.8 导致超时
• 关闭容器内服务的自动注册：如 Spring Cloud 应用，设 eureka.client.enabled=false；Consul 客户端禁用 retry-join 配置
• 应用配置外置：数据库地址、API 网关等统一通过环境变量或挂载配置文件注入，不在镜像内硬编码公网域名