node.js容器镜像应选用node:18-alpine基础镜像，因其体积小（约39mb）、攻击面窄、启动快，适合被apache反向代理；避免使用node:latest或node:18等debian版（超900mb），以保障轻量、安全与可缓存性。
Apache 本身不直接运行 Node.js 应用——它是个 HTTP 服务器，而 Node.js 是独立运行时。常见做法是用 Apache 作反向代理，把请求转发给后端的 Node.js 容器服务。所以“在容器化镜像中构建轻量级服务”，重点不是把 Apache 打进 Node.js 镜像，而是让 Node.js 镜像足够轻、安全、可被 Apache（宿主机或另一容器）可靠代理。
选对基础镜像：node:18-alpine 是生产首选
别用 node:latest 或 node:18（即 Debian 版），它们体积大（>900MB）、攻击面宽、启动慢。alpine 版本基于精简的 musl libc，镜像通常仅
- 确认你的应用兼容 Alpine（多数 Express/Koa/Restify 项目无问题）
- 避免在 Alpine 中安装 glibc 依赖（如某些二进制 npm 包），否则会破坏轻量性
- 若必须用 glibc 生态，改用 node:18-slim（Debian slim），体积约 220MB，仍比 full 版轻一半
Dockerfile 分层优化：缓存依赖，隔离变更
关键不在“写多少行”，而在“哪几行先执行”。错误顺序会让每次代码修改都重装 node_modules，拖慢 CI 和本地调试。
- COPY package*.json ./ 必须在 RUN npm install 之前
- npm install --production 只装 runtime 依赖，跳过 devDependencies（如 jest、eslint），减少镜像体积和安全风险
- COPY . . 放在最后，确保源码变更不触发依赖层重建
- 加一行 USER node，禁止 root 运行应用进程，防提权攻击（需提前创建非 root 用户）
不打包 Apache，但要适配它的代理规则
Node.js 容器只需专注一件事：监听一个端口（如 3000），返回标准 HTTP 响应。Apache 在外部做反向代理时，依赖的是：
- 容器暴露端口（EXPOSE 3000）——虽不强制生效，但起文档作用
- 应用监听 0.0.0.0:3000（不是 127.0.0.1），否则容器内网络不可达
- 响应头不含硬编码域名或协议（如 Location: http://localhost），否则经 Apache HTTPS 代理后变成混合内容
- 推荐在 Express 中用 app.set('trust proxy', 1)，正确解析 X-Forwarded-For 和 X-Forwarded-Proto
构建与验证：一条命令测通路
构建完别急着推仓库，先本地验证是否真能被代理：
- docker build -t mynode-app .
- docker run -d -p 3000:3000 --name api mynode-app
- curl -H "Host: example.com" http://localhost:3000/api/health（模拟 Apache 转发的 Host 头）
- 确认返回 200 且响应体不含 localhost、http:// 等非代理友好字段
