企业级系统用docker多阶段构建的核心是分离构建与运行阶段：构建阶段使用完整工具链编译打包，运行阶段仅保留最小依赖并以非root用户启动，嵌入健康检查与元数据，支持多目标构建实现环境隔离。
企业级系统用 Docker 多阶段构建，核心就一条：把“怎么建”和“怎么跑”彻底分开。不是为了炫技，而是为了解决真实场景里的体积、安全、交付和运维问题。
分清构建阶段和运行阶段的职责
构建阶段只干一件事：编译、安装依赖、打包产物。它可以用大镜像（比如 golang:1.21、python:3.11-slim-bookworm、maven:3.9-openjdk-17），装全工具链也不怕。运行阶段必须极简：只保留可执行文件、配置、证书、必要库。基础镜像选 alpine:latest 或 distroless（如 gcr.io/distroless/static-debian12）。
- Go 服务：第一阶段编译出静态二进制，第二阶段 COPY 进 Alpine，不装任何包
- Python API：第一阶段用完整 Python 环境 pip install 所有依赖（含 C 扩展），第二阶段只复制
/usr/local下的运行时文件，不带gcc、build-essential - 前端项目：第一阶段用
node:20跑 Webpack，产出dist/；第二阶段用nginx:alpine，只 COPY 静态资源
强制非 root 用户与最小权限
生产镜像里不能留默认 root。多阶段构建正好在运行阶段做权限收口：
- 运行阶段用
RUN addgroup -g 65532 -S appuser && adduser -S appuser -u 65532创建无家目录、无 shell 的受限用户 -
COPY --from=builder复制完文件后，立刻RUN chown -R appuser:appuser /app - 最后加
USER appuser，确保进程以普通身份启动
健康检查和元数据要嵌入运行阶段
CI/CD 流水线最终交付的是运行镜像，所以健康检查、标签、作者信息这些必须写在第二阶段之后：
-
HEALTHCHECK --interval=30s --timeout=5s --start-period=5s --retries=3 CMD python -c "import urllib.request; urllib.request.urlopen('http://localhost:8080/health')"—— 不依赖 curl，纯语言内置模块 -
LABEL org.opencontainers.image.source="https://git.example.com/team/app"和org.opencontainers.image.version="v2.4.1"帮助追踪溯源 - 避免在构建阶段写 LABEL，防止把开发分支、临时 commit hash 泄露到生产镜像
支持多目标构建和环境隔离
一个 Dockerfile 可服务多个场景，靠 --target 控制输出：
- 定义
FROM python:3.11-slim AS builder、FROM python:3.11-slim AS debug、FROM gcr.io/distroless/python3 AS production - CI 中：
docker build --target production -t myapp:prod .构建上线镜像 - 本地调试：
docker build --target debug -t myapp:debug .带bash、strace、符号表，方便排查
