核心是通过多阶段构建实现环境隔离：第一阶段用含工具链的镜像编译，第二阶段用轻量镜像仅运行产物；arg用于动态传参且不残留镜像中；.dockerignore精简上下文，避免污染。
核心是让构建过程不依赖宿主机状态，也不污染本地工作树。关键不在“装什么”，而在“怎么隔离”。
用多阶段构建分离编译与运行环境
构建工具（如 Go 编译器、Node.js、Python pip）只出现在构建阶段，最终镜像里完全不带它们。
- 第一阶段用 golang:1.21 或 node:20-alpine 完成编译或打包
- 第二阶段用 alpine:latest 或 scratch 启动服务，仅 COPY 编译产物
- 避免在最终镜像中残留源码、dev 依赖、调试工具等无关内容
构建上下文要精简，别把整个工作树拖进去
Docker 构建时默认把当前目录（包括 .git、node_modules、dist 等）全复制进构建上下文，容易带入脏数据。
- 用 .dockerignore 显式排除不需要的文件和目录
- 推荐至少忽略：
.git、**/node_modules、**/__pycache__、dist、build、.env - 必要时改用
git archive导出干净源码再构建，彻底绕过本地工作树
用 ARG 控制构建参数，避免硬编码环境细节
构建行为应能随环境动态调整，而不是靠改 Dockerfile。
- 用
ARG NODE_VERSION=18、ARG BUILD_ENV=prod声明可变参数 - 构建时通过
--build-arg NODE_VERSION=20注入 CI 流水线中的版本号或分支名 - 注意：ARG 只在构建阶段生效，不会留在镜像里，比 ENV 更安全
容器内操作 Git，不碰宿主机工作树
CI 流水线里不要在宿主机上 git clone + docker build，而应在容器里完成检出。
- Dockerfile 中用
RUN git clone --depth 1 -b $TAG https://xxx.git /app（配合 ARG 传入 tag） - 或更稳妥地，在 CI 脚本中先用
git archive打包，再docker build -f Dockerfile --target=build . - 确保每次构建都在空白文件系统中进行，不受本地 untracked 文件、临时配置影响
