多阶段构建是优化docker镜像的核心手段，通过分离构建与运行阶段，仅保留运行必需文件，显著减小体积、提升安全性和构建效率。
优化 Docker 镜像构建，核心是围绕**体积更小、构建更快、运行更安全**三个目标展开。不是堆砌技巧，而是理清每一步的取舍逻辑——比如多阶段构建不是为了写两个 FROM，而是为了确保最终镜像里只留运行必需的东西。
用好多阶段构建
这是最直接有效的瘦身手段，尤其适合编译型语言（Go、Java）和前端项目。
- 第一阶段专注“造东西”：用完整镜像（如
golang:1.21或maven:3.8-openjdk-17）完成编译、打包、依赖安装 - 第二阶段专注“跑东西”：切换到极简镜像（如
alpine:3.18或openjdk:17-jre-slim），只 COPY 上一阶段产出的二进制或 jar 包 - 避免把源码、
node_modules、src/、测试文件、构建工具链打进最终镜像
选对基础镜像
基础镜像决定下限。别默认用 ubuntu:latest 或 python:3.12 这类“全家桶”。
-
alpine（约 5MB）：轻量、musl libc，适合静态二进制或简单服务；注意部分 Python C 扩展可能不兼容 -
-slim（如python:3.12-slim）：基于 Debian，去掉了 docs、man、perl 等非运行必需组件，兼容性好 -
distroless（如gcr.io/distroless/java17）：无 shell、无包管理器，攻击面最小，适合严格安全场景 - 固定标签，不用
latest：用python:3.12-slim-bookworm而非python:3.12-slim，避免隐式升级带来意外
精打细算每一层
Dockerfile 每行指令都生成一层，层越多、越乱，缓存越难复用，体积也越难控制。
- 合并 RUN 指令：把 apt 更新、安装、清理写在一行，用
&&连接，避免中间层残留缓存或临时文件 - 加
--no-install-recommends（Debian/Ubuntu）或--no-cache-dir（pip），减少非必要内容 - 把变动少的操作（如
COPY package*.json）放在前面，变动多的（如COPY src/）放后面，提升缓存命中率 - 用
.dockerignore排除node_modules、.git、__pycache__、.env等，防止它们意外进入构建上下文
安全与运维细节不能漏
镜像不只是能跑，还要能管、能信、能长期维护。
- 别用 root 用户启动：加
USER 1001，配合非特权端口（如 8080） - 敏感信息不进镜像：密码、密钥、配置通过环境变量或 Secret 挂载注入，不在 Dockerfile 里硬编码
- 加健康检查：用
HEALTHCHECK命令让 Kubernetes 或 Docker 自动识别容器是否真活 - 扫描基础镜像漏洞：用
trivy image your-image或 CI 中集成 SCA 工具，早发现早替换
