docker镜像最佳实践围绕安全、体积、可维护性、可观测性、可复现性五大目标，强调生产环境长期稳定运行。安全底线要求官方固定版本基础镜像、非root用户、敏感信息不硬编码；镜像体积追求合理精简，优先slim而非scratch，多阶段构建剥离编译依赖；构建需利用缓存、避免隐式更新、启用buildkit加速；标签必须语义化或git id，禁止latest用于生产。
Docker 镜像最佳实践不是一套固定模板，而是围绕安全、体积、可维护性、可观测性、可复现性五个核心目标形成的一套工程化方法。它解决的不是“能不能跑”，而是“能不能长期稳、快、安、准地运行在生产环境”。
安全是底线，不能妥协
- 基础镜像必须用官方源 + 固定版本或 digest（如
alpine:3.19@sha256:...），禁用latest； - 容器默认不以 root 用户运行：
USER 1001显式声明非特权用户； - 敏感信息（密码、密钥）绝不硬编码进镜像，改用挂载 Secret 或环境变量注入（配合 Kubernetes 或 Docker Swarm 的 secret 管理机制）；
- 构建阶段避免安装调试工具（如
curl、vim、git），运行镜像里只保留最小必要依赖。
镜像要小，但不是越小越好
- 小 ≠ 正确：
scratch镜像虽极致轻量，但缺失 shell 和调试能力，适合静态二进制（如 Go 编译产物），不适合 Node.js/Python 等需动态依赖的场景； - 推荐路径：
slim>alpine>full（如python:3.11-slim优先于python:3.11）； - 多阶段构建是标配：构建阶段装完整工具链，运行阶段只 COPY 产出物（如
/app/main），彻底剥离编译依赖； - 每层都该有明确目的，合并冗余
RUN（如把apt update && apt install && rm -rf /var/lib/apt/lists/*写在同一行）。
构建过程要快且稳定
- 利用缓存：把变化少的指令（
COPY requirements.txt .→pip install）放在前面，变化多的（COPY . .）放后面； - 避免隐式更新：
apt-get upgrade、npm install不加--no-cache-dir会污染缓存，也增加体积； - 用 BuildKit（
# syntax=docker/dockerfile:1）启用高级特性：--mount=type=cache加速依赖安装，--mount=type=bind减少临时文件拷贝。
标签和版本必须可追溯
-
latest只能用于开发测试，生产镜像必须带语义化版本（v1.4.2）或 Git commit ID（git-abc123f）； - 同一镜像可打多个标签（如
myapp:v1.4.2和myapp:20260729-prod），但禁止不同镜像共用同一标签； - 推送前确认
IMAGE ID一致：docker tag是打标，不是复制，删标签不影响镜像本体，除非所有标签都被移除且无容器引用。
不复杂但容易忽略
