dockerfile构建镜像需规范结构、优化指令顺序与分层：from必须首行，优先选-slim/alpine基础镜像；workdir显式声明；copy优于add；cmd/entrypoint合理分工；依赖安装前置以提升缓存命中；多阶段构建剥离编译环境，显著减小体积并增强安全性。
直接用 Dockerfile 构建镜像，核心是写好指令顺序、控制层体积、避免隐性开销。不是把所有命令堆进去就行，而是让每一层都可缓存、可复用、可验证。
基础结构必须规范
一个可用的 Dockerfile 至少包含四部分：基础镜像、工作目录、文件复制、启动命令。顺序不能乱，FROM 必须是第一行。
-
FROM 要精简：优先选带 -slim 或 alpine 后缀的官方镜像，比如
python:3.11-slim、node:20-alpine；避免用ubuntu:latest这类大而全的基础镜像 -
WORKDIR 显式声明：别依赖默认路径，统一设为
/app或/usr/src/app，后续 COPY、RUN 都基于此 - COPY 比 ADD 更可控：只用 COPY 复制本地文件；需要解压或拉远程资源时再考虑 ADD，否则行为难预测
-
CMD 和 ENTRYPOINT 区分清楚：CMD 是默认参数，可被
docker run命令覆盖；ENTRYPOINT 是固定入口，适合封装运行逻辑，比如ENTRYPOINT ["sh", "-c"]
依赖安装要分层缓存
构建速度慢，往往是因为每次改了代码，连依赖都要重装。关键在于把“变少”的操作放前面，“常变”的放后面。
- 先 COPY
package.json或requirements.txt单独安装依赖，再 COPY 全部源码 - Node.js 项目用
RUN npm ci --only=production，比npm install更稳定、更快 - Python 项目用
RUN pip install --no-cache-dir -r requirements.txt，跳过缓存节省空间 - 不要在 RUN 中写多条 apt/yum 命令却不合并，每条 RUN 都新增一层；应写成：
RUN apt-get update && apt-get install -y curl nginx && rm -rf /var/lib/apt/lists/*
多阶段构建减体积
编译型语言（Go、Rust、Java）或前端项目（需 build 步骤）特别适合多阶段构建——开发环境装工具，运行环境只留二进制或静态文件。
- 第一阶段用完整镜像编译：
FROM golang:1.21 AS builder - 第二阶段用最小镜像运行：
FROM alpine:3.18，再用COPY --from=builder /app/myapp . - 最终镜像体积可从 800MB 降到 15MB 左右，且不含编译器、头文件等无关内容
- 即使脚本语言项目，也可用多阶段做构建前检查，比如先跑 lint 或测试，失败则中断构建
安全与可维护细节
镜像不是能跑就行，还要考虑权限、暴露面、可追踪性。
- 用
USER nonroot切换到非 root 用户运行容器，降低提权风险 - 用
.dockerignore排除node_modules、.git、__pycache__等，减少上下文传输和误复制 - 给镜像打语义化标签：
myapp:v1.2.0-prod，别只用latest，便于回滚和审计 - 加
LABEL maintainer="team@example.com"和ENV TZ=Asia/Shanghai这类元信息，提升可读性
