核心是选对基础镜像、精简构建步骤、确保运行稳定：必须以官方openjdk:{version}-jre-slim为from首行，创建非root用户并切换运行，仅copy可执行jar，用entrypoint而非cmd，固定版本号不使用latest，避免多余run和全量目录复制。
Java 项目写 Dockerfile，核心是选对基础镜像、精简构建步骤、确保运行稳定。FROM 必须是第一行指令，且应优先选用官方提供的 JRE 精简镜像，而非完整 JDK 或通用 Linux 镜像。
选对 FROM：用官方 OpenJDK JRE 精简版
推荐使用 openjdk:{version}-jre-slim，比如 openjdk:17-jre-slim 或 openjdk:21-jre-slim。它只含 Java 运行时（不含编译器、调试工具等），体积小、攻击面小、启动快。避免用 openjdk:{version}（默认是 JDK 全量镜像）或 java:8（已废弃且无维护）。
- 查看可用标签：访问 Docker Hub OpenJDK 页面，筛选带
jre-slim后缀的版本 - 生产环境建议固定版本号（如
17-jre-slim），不写latest，防止意外升级引发兼容问题 - 若需 glibc 兼容（如调用 native 库），可选
-slim；若需更小体积且应用纯 Java，-alpine也可用，但注意 Alpine 使用 musl libc，部分 JNI 库可能不兼容
标准 Dockerfile 结构（以 Spring Boot jar 为例）
一个轻量、安全、可复现的 Java Dockerfile 应包含以下关键指令，顺序不能乱：
Java JDK 25
下载
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
- FROM openjdk:17-jre-slim —— 基础镜像，必须首行
- RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001 —— 创建非 root 用户，提升安全性（Spring Boot 3+ 默认支持）
- WORKDIR /app —— 设定工作目录，后续操作在此路径下进行
- COPY --chown=appuser:appgroup target/myapp.jar /app/app.jar —— 复制 jar 并自动设属主，避免权限问题
- USER appuser —— 切换到非 root 用户运行
- EXPOSE 8080 —— 声明端口（仅文档作用，不影响实际绑定）
-
ENTRYPOINT ["java","-Djava.security.egd=file:/dev/./urandom","-jar","/app/app.jar"] —— 使用 ENTRYPOINT 更利于传参，加
-Djava.security.egd加速 SecureRandom 初始化
构建与验证要点
写完 Dockerfile 后，构建和验证环节直接影响上线可靠性：
- 在项目根目录执行：
docker build -t myapp:1.0 .（注意末尾的点） - 构建成功后，用
docker run --rm -p 8080:8080 myapp:1.0快速测试是否能启动并响应 HTTP 请求 - 检查进程用户：
docker exec -it ps aux，确认 java 进程运行在appuser而非root - 用
docker history myapp:1.0查看镜像分层，确认没有多余 RUN 指令导致体积膨胀
常见误区提醒
容易被忽略但影响交付质量的细节：
- 不要在 Dockerfile 中写
RUN apt-get update && apt-get install -y ...—— JRE slim 镜像已预装必要运行依赖，额外安装易引入漏洞且增大体积 - 避免用
CMD替代ENTRYPOINT：CMD 容易被docker run后的命令覆盖，导致 java -jar 失效；ENTRYPOINT 更健壮 - 别把
target/目录整个 COPY 进去 —— 只复制最终 jar 包，其他构建产物（如 class 文件、test 目录）不应进入镜像 - 本地构建前确保
mvn clean package已成功生成 jar，且 jar 是可执行的（含Main-Class和依赖打包）
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
