核心思路是合并操作、精简指令、分层隔离变更频率；即合并run指令减少层数，按变更频率排序copy提升缓存命中率，配合.dockerignore排除无用文件，启用多阶段构建剥离构建依赖，并优先使用copy而非add、合并env声明以避免冗余层。
核心思路是合并操作、精简指令、分层隔离变更频率，让镜像层更少、更稳、更易复用。
合并 RUN 指令，避免“一层一命令”
RUN 每执行一次就新增一层，拆得太碎会直接导致层数爆炸（比如 20 行 RUN → 20 层）。应把安装依赖、清理缓存等关联动作压进单条 RUN：
- ✅ 推荐写法：用 && 连接多条命令，并在末尾 rm -rf /var/lib/apt/lists/* 或 apk --no-cache add 清理中间产物
- ❌ 避免写法：分开写 RUN apt-get update、RUN apt-get install、RUN rm -rf …… 这样每步都固化一层，且缓存无法跨层复用
- 示例（Python 项目）：RUN apt-get update && apt-get install -y python3-pip && pip install --no-cache-dir flask gunicorn && rm -rf /var/lib/apt/lists/*
按变更频率排序 COPY，提升缓存命中率
COPY 触发新层，但它的价值在于“缓存可复用”。把稳定内容（如 package.json、requirements.txt）先复制，再 RUN 安装，最后复制易变代码：
- COPY package.json → RUN pip install → COPY . ，这样只要依赖没变，安装层就永远复用
- 避免一次性 COPY 整个 src/ 目录——哪怕只改了一个 .py 文件，也会让所有前置层缓存失效
- 配合 .dockerignore 排除 .git、__pycache__、node_modules 等，防止无意义文件被 COPY 进镜像
启用多阶段构建，剥离构建时依赖
编译型语言（Go、Rust、C++）或需构建工具链的场景，最终镜像完全不需要 gcc、make、npm 等。多阶段构建可彻底删除这些“构建污染”：
- 第一阶段用 golang:alpine 编译二进制；第二阶段用 alpine 或 distroless 做运行时基础，仅 COPY 编译产物
- 结果：镜像体积减少 60%+，层数从 15+ 压到 4~5 层，且无 shell、包管理器等攻击面
- 典型结构：FROM golang:1.21 AS builder → WORKDIR /app → COPY . . → RUN go build -o server .
FROM gcr.io/distroless/static-debian11 → COPY --from=builder /app/server . → CMD ["./server"]
慎用 ADD，优先用 COPY，禁用无意义的 LABEL/ENV 冗余层
ADD 有自动解压和远程 URL 下载能力，但多数时候只是“高级 COPY”，反而引入不可控行为；LABEL 和 ENV 若无实际用途（如用于 CI 标识或健康检查），每行都新增一层：
- 统一用 COPY 处理本地文件复制，语义清晰、行为确定
- ENV 应合并声明（ENV A=1 B=2 C=3），避免多个 ENV 指令
- 非必要不加 LABEL，如必须加，建议集中写在 Dockerfile 尾部，且不超过 3 条关键元数据
