docker构建中，run指令的临时文件必须在同一层内清理才能减小镜像体积；推荐单条run链式执行安装与清理，或使用多阶段构建分离编译与运行环境。
在 Docker 构建过程中，RUN 指令执行的命令会生成中间层镜像，如果在其中安装软件、解压包或编译源码，往往留下大量临时文件（如 /var/cache/apt/archives/、/tmp/、.git 目录等）。这些文件若未及时清理，会直接被固化进镜像层，显著增大镜像体积。
单条 RUN 中完成安装 + 清理（推荐）
关键原则：所有依赖安装和临时文件清理必须放在**同一个 RUN 指令中**。因为 Docker 每个 RUN 都会创建新层，前一层删除的文件在下一层仍可被“看到”（只是标记为已删除），但不会减少镜像大小；只有在同一层内“写入后立即删除”，才能真正不存入镜像。
示例（Debian/Ubuntu）：
RUN apt-get update && \
apt-get install -y curl nginx && \
rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/*-
apt-get update和install必须与rm在同一行链式执行（用&&连接），确保失败时整体中断 -
/var/lib/apt/lists/*是 APT 缓存，占空间大，必须清理 - 避免只写
rm -rf /tmp/*—— 某些构建工具可能把临时文件写到/var/tmp或$HOME/.cache，按需补充
多步操作需合并 RUN，避免拆成多个
错误写法（镜像会变大）：
RUN apt-get update && apt-get install -y build-essential RUN git clone https://github.com/example/app.git /src RUN cd /src && make && make install RUN rm -rf /src
正确写法（全部合并，中间产物不落盘）：
RUN apt-get update && \
apt-get install -y build-essential git && \
git clone https://github.com/example/app.git /tmp/app && \
cd /tmp/app && \
make && \
make install && \
rm -rf /tmp/app /var/lib/apt/lists/*- 源码下载、编译、安装全程在
/tmp（易清理路径）完成 - 最终
rm -rf删除源码目录和 APT 缓存，且与前面命令同属一个 RUN - 如需保留二进制但删源码，可用
cp /tmp/app/bin/* /usr/local/bin/ && rm -rf /tmp/app
利用构建参数或多阶段构建进一步精简
对复杂构建（如 Node.js、Go、Rust），建议优先使用 多阶段构建，将编译环境和运行环境分离：
# 构建阶段 FROM node:18 AS builder WORKDIR /app COPY package*.json ./ RUN npm ci --only=production COPY . . RUN npm run build <h1>运行阶段</h1><p>FROM nginx:alpine COPY --from=builder /app/dist /usr/share/nginx/html</p><h1>不含 node、npm、源码、node_modules，仅静态文件</h1>
- 第一阶段负责构建，第二阶段只 COPY 最终产物，天然规避临时文件残留
- 若必须单阶段，可在 RUN 中用
npm ci --only=production替代npm install，跳过 devDependencies - Go 项目可加
CGO_ENABLED=0 GOOS=linux go build -a -ldflags '-s -w'减小二进制体积
验证清理是否生效
构建完成后，用以下命令检查镜像各层大小和内容：
# 查看每层大小（从底向上） docker history your-image-name <h1>进入某层查看是否存在残留（需先导出为 tar）</h1><p>docker save your-image-name | tar -t | grep -E "(tmp|cache|.git)"</p>
- 重点关注最大的几层，确认
/var/lib/apt/lists/、/tmp/等路径为空 - 若发现意外文件，回溯对应 RUN 指令，检查是否漏删或跨了 RUN
- 可搭配
docker build --no-cache彻底重建，排除缓存干扰
