标准 dockerfile 模板是围绕可复现、可维护、安全、高效形成的结构化约定，核心要求包括：指定带版本号的基础镜像（禁用 latest）、创建非 root 用户、按缓存友好顺序分层（依赖优先、代码靠后）、显式声明 workdir/expose/entrypoint+cmd，并配套 .dockerignore 和标准化构建命令。
标准 Dockerfile 模板不是一套固定代码，而是围绕可复现、可维护、安全、高效四个目标形成的结构化约定。团队统一使用的关键，在于明确“什么必须写、什么怎么写、什么绝对不写”，而不是追求一行不差的复制粘贴。
明确基础镜像与运行用户
所有模板第一行必须指定受信、精简、带版本号的基础镜像，禁用 latest 标签：
- Python 项目用 python:3.11-slim-bookworm（非 alpine，避免 glibc 兼容问题）
- Node.js 项目用 node:20-bullseye（兼顾工具链完整性和 CVE 更新节奏）
- 必须紧接着定义非 root 用户：RUN groupadd -g 1001 -f app && useradd -r -u 1001 -g app app，再通过 USER app 切换
分层设计：依赖优先，代码靠后
利用 Docker 构建缓存机制，把变动频率低的操作放在前面：
- 先 COPY package*.json . 或 requirements.txt，再 RUN pip install --no-cache-dir -r requirements.txt
- 再 COPY . .（或更精细地按目录分步复制）
- 禁止把 COPY . . 放在 RUN pip install 之前——否则每次改代码都会重装全部依赖
声明清晰的运行契约
模板需显式表达容器“该做什么、怎么启动、暴露什么”：
- WORKDIR /app 统一工作路径，禁止用默认 / 或随意路径
- EXPOSE 8000（按实际端口填写），仅作文档用途，不自动开放防火墙
- ENTRYPOINT 和 CMD 分工明确：ENTRYPOINT 封装执行环境（如 ["sh", "-c"]），CMD 提供默认命令（如 ["python main.py"]），便于运行时覆盖
配套约束：不止是 Dockerfile 本身
真正落地统一，需要三件套协同：
- .dockerignore 文件强制存在，至少包含：node_modules/ __pycache__/ *.log .git .DS_Store
- 构建命令标准化，例如统一用：docker build --platform linux/amd64 -t ${IMAGE_NAME}:$(git rev-parse --short HEAD) .
- CI 流水线中加入检查项：基础镜像是否含版本号、是否存在 root 用户运行、镜像大小是否超阈值（如 Python 服务 ≤ 350MB）
