node.js生产环境需稳定安全轻量可观测，首选node:20-alpine但兼容性不足时改用node:20-slim，禁用latest与完整镜像；采用多阶段构建剥离开发依赖，非root用户运行，配置healthcheck与.dockerignore，环境变量外部化。
搭建 Node.js 生产运行环境，核心是稳定、安全、轻量、可观测——不是跑起来就行，而是要扛住真实流量、防住常见风险、方便排查问题。
选对基础镜像：alpine 优先，但别硬上
生产环境首选 node:20-alpine（约 39MB），体积小、攻击面窄、启动快。但它用 musl libc，若项目依赖 sharp、bcrypt、pg（某些版本）等需编译的原生模块，可能报 cannot find module 或 symbol not found。遇到这类情况，直接换 node:20-slim（约 200MB），基于 Debian，兼容性好，仍比完整版干净得多。
避免使用 node:latest 或 node:20（900MB+）：前者版本漂移导致部署不可控，后者臃肿且含大量非必要工具，增加安全风险。
用多阶段构建，剥离开发依赖
生产镜像里不该有 devDependencies、源码、构建工具或调试器。典型结构：
-
构建阶段（builder）：用完整镜像（如
node:20-slim）复制package*.json→npm ci --include=dev→ 运行npm run build（如 TypeScript 编译、前端打包） -
运行阶段（runtime）：切换到更小镜像（如
node:20-alpine），只 COPY 构建产物（如dist/）、生产依赖（node_modules），并以非 root 用户运行
这样最终镜像体积可压缩 60% 以上，且不含 git、curl、bash 等攻击面大的工具。
加固运行时：权限、端口与健康检查
默认 root 启动是高危操作。必须显式创建非 root 用户并切换：
MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。
RUN addgroup -g 1001 -S appgroup && adduser -S appuser -u 1001 -G appgroupCOPY --from=builder --chown=appuser:appgroup /app/dist ./distUSER appuser
暴露端口仅声明 EXPOSE 3000 不够，还要加 HEALTHCHECK：
HEALTHCHECK --interval=30s --timeout=3s --retries=3 CMD wget --quiet --tries=1 --spider http://localhost:3000/health || exit 1
配合 /health 路由返回 200 OK，让 Kubernetes 或 Docker Swarm 能自动发现异常实例。
配套配置不能少：.dockerignore 和环境变量
.dockerignore 必须包含：
-
node_modules（本地 node_modules 别误拷进去） -
npm-debug.log、.git、.env（尤其敏感配置不能进镜像） -
src/、test/、scripts/（生产不需要源码）
环境变量通过 docker run -e NODE_ENV=production 或 docker-compose.yml 注入，禁止硬编码在代码或镜像中。关键参数如 PORT、DB_HOST 应全部外部化。
