c++多阶段docker构建核心是分离编译与运行环境：第一阶段用gcc:13等完整镜像编译并安装产物，第二阶段用alpine:latest等轻量镜像仅复制二进制文件，通过copy --from=builder传递，彻底剔除构建工具与源码，实现体积最小化与安全性提升。
多阶段构建实现 C++ 编译环境与运行环境分离，核心是用一个阶段完成编译（含依赖下载、头文件处理、链接等），另一个阶段仅保留最小化运行时所需内容（如静态可执行文件、必要系统库），两者通过中间产物（通常是二进制文件）传递，互不共享文件系统或环境变量。
编译阶段：专注构建，不关心运行
该阶段使用完整开发镜像（如 ubuntu:22.04 或 gcc:13），安装编译器、CMake、测试工具、调试符号等。关键点：
- 所有源码、构建脚本、第三方依赖（如
fmt、spdlog）都在此阶段拉取和编译 - 推荐启用
-DCMAKE_BUILD_TYPE=Release和-DBUILD_SHARED_LIBS=OFF，便于后续静态链接 - 若项目支持，优先使用
make install或cmake --install将产物安装到临时前缀（如/tmp/staging），方便下一阶段精准复制 - 避免在该阶段生成调试符号（或单独剥离）——除非需要调试版镜像
运行阶段：极简、安全、可复现
该阶段从基础轻量镜像启动（如 alpine:latest 或 scratch），只复制上一阶段产出的可执行文件及必要资源：
- 若已静态编译（
g++ -static），直接复制二进制到scratch镜像即可，体积常小于 10MB - 若需动态链接（如依赖
libstdc++.so.6），可用ldd查出依赖库，再用cp+mkdir -p复制到 Alpine 镜像中对应路径（注意 Alpine 使用musl，需选glibc兼容镜像如tonistiigi/glibc） - 不复制任何构建工具、头文件、源码、
.a或.so开发包 —— 这些对运行毫无意义，反而增大攻击面 - 设置非 root 用户、工作目录、健康检查端点（如适用），提升容器安全性与可观测性
连接两阶段：靠 Docker 的 COPY --from= 或构建缓存
以 Dockerfile 为例，典型写法如下：
# 构建阶段
FROM gcc:13 AS builder
WORKDIR /src
COPY CMakeLists.txt ./
COPY src/ ./src/
RUN cmake -B build -S . -DCMAKE_BUILD_TYPE=Release -DBUILD_SHARED_LIBS=OFF && \
cmake --build build --target install --config Release
<h1>运行阶段</h1><p>FROM alpine:latest
RUN apk add --no-cache ca-certificates
COPY --from=builder /usr/local/bin/myapp /usr/local/bin/myapp
ENTRYPOINT ["/usr/local/bin/myapp"]
</p>
这里 --from=builder 是关键：它让运行阶段完全脱离构建环境，连 GCC 都不存在于最终镜像中。即使 builder 阶段被删，只要构建缓存存在，运行阶段仍可复现。
延伸：配合 CMake 分层与编译防火墙更进一步
若项目已采用分层 CMake 结构（如 common/、io/、app/），可在构建阶段为各模块分别指定 INSTALL 规则，确保只暴露接口头文件和稳定 ABI 的库；再结合编译防火墙规则（如禁用 strcpy、强制 -Werror），把合规检查嵌入构建阶段，使“可运行”同时意味着“已验证”。这样分离的不只是环境，更是职责边界。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
