node.js项目docker化应使用node:18-alpine基础镜像、非root用户运行、分层复制package*.json再npm ci、expose 3000、cmd数组格式启动；需配.dockerignore排除无关文件并打语义化版本标签。
写一个能真正跑起来的 Dockerfile，关键不是堆指令，而是让每一步都“有目的、可预期、易维护”。它不是脚本，而是一份环境交付说明书。
明确基础镜像和运行用户
选镜像不是越新越好，而是越稳越轻越好。Node.js 项目优先用 node:18-alpine，Python 项目推荐 python:3.11-slim。Alpine 和 slim 镜像体积小、攻击面窄，上线更安全。
别默认用 root 启动应用。加一行 USER node 或 USER python，提前规避权限风险。Dockerfile 开头就定调：
FROM node:18-alpine WORKDIR /app USER node
分层复制依赖与代码
这是最容易拖慢构建速度的地方。把 COPY . . 放在最前面，每次改一行代码，npm install 就得重跑——完全浪费缓存。正确顺序是：
- 先复制
package*.json（只这两文件，不带 node_modules） - 立即执行
RUN npm ci --only=production - 再复制其余源码
这样只要 package.json 不变，依赖层就直接复用。
声明端口与启动命令
EXPOSE 3000 不是开放端口，只是文档说明；真正起作用的是运行容器时加 -p 3000:3000。CMD 要用 exec 格式（数组写法），避免 shell 启动导致 PID 1 不是主进程，信号收不到、无法优雅退出：
EXPOSE 3000 CMD ["node", "app.js"]
排除无关文件，控制构建上下文
根目录下放个 .dockerignore，内容类似 .gitignore：
node_modules/ npm-debug.log .git README.md .env
它能大幅减少发送给 Docker 守护进程的数据量，尤其当项目含大文件或本地构建产物时，效果立竿见影。
打标签要带版本，别用 latest
构建命令别写 docker build -t myapp .，而是：
docker build -t myapp:v1.2.0 .
语义化版本（如 v1.2.0）配合 CI/CD 流水线，才能追溯镜像来源、回滚有据可依。latest 是运维陷阱，永远不知道它今天到底指哪次提交。
