优化dockerfile的核心是控制层数、精简内容、善用缓存，关键包括合并run指令确保清理同层完成、使用.dockerignore排除无关文件、启用多阶段构建分离编译与运行环境、选用合适基础镜像。
核心是控制层数、精简内容、善用缓存。Docker 每条指令都生成一层，层越多，镜像体积越大、构建越慢、拉取越耗时，还可能引入冗余文件和安全风险。
合并 RUN 指令，确保清理在同层完成
每条 RUN 都新增一层，分开写 apt-get update 和 install 会残留大量缓存文件。关键不是“少写几行”，而是让安装与清理发生在同一层。
- ✅ 正确写法：用 && 连接命令，且 rm -rf /var/lib/apt/lists/* 必须在同一 RUN 中执行
- ❌ 错误写法：先 RUN apt-get update，再 RUN apt-get install，最后 RUN rm —— 中间两层的包索引会保留在镜像里
- 示例：
RUN apt-get update && apt-get install -y curl nginx && rm -rf /var/lib/apt/lists/*
用 .dockerignore 切断无关上下文传输
构建时整个目录被传入 Docker daemon，哪怕 Dockerfile 没用到，也会拖慢构建、干扰缓存、意外增大镜像。
- 必须排除：node_modules、.git、.gitignore、README.md、*.log、coverage、.nyc_output
- 不推荐在 Dockerfile 里用 RUN rm 删除这些——它们早已被打包进前几层，删不掉
- 效果：减小上下文体积，提升缓存命中率，避免因某次提交带了大日志文件导致全量重建
启用多阶段构建，只保留运行时必需内容
尤其适合 Go、Rust、Node.js、Python（含编译型依赖）等场景。构建环境和运行环境彻底分离，最终镜像不含编译器、源码、dev 依赖。
- 第一阶段用完整镜像（如 golang:alpine 或 node:18）做构建
- 第二阶段用极简镜像（如 alpine:latest 或 distroless）仅复制可执行文件或已安装的包
- 示例中 Python 应用可将镜像从 900MB 缩至 120MB 以内，Go 应用常压到 10MB 左右
选对基础镜像，按需取舍兼容性
基础镜像决定下限。但不能盲目求小，要平衡体积、兼容性和运维成本。
- 纯解释型语言（无 C 扩展）：优先用 alpine 或 distroless（如 python:3.11-alpine、distroless/python3.11）
- 含 numpy、psycopg2 等 C 扩展：改用 slim（如 python:3.11-slim），避开 musl libc 兼容问题
- 需要调试工具（curl、sh、tcpdump）：临时用 slim，生产环境仍切回 distroless
