copy指令在微服务多模块项目中实现精准复制的核心是按需、分层、隔离：为各服务单独声明制品路径，结合多阶段构建仅复制必要产物，通过.dockerignore与显式路径双重过滤，并统一--chown确保权限一致。
COPY 指令在微服务多模块项目中实现精准复制，核心在于“按需、分层、隔离”——不复制源码，只复制构建产物；不一股脑打包，而是按服务边界和依赖关系拆解路径；不依赖默认行为，而是用明确路径+显式权限控制每个模块的制品归属。
按模块粒度单独 COPY 构建产物
微服务通常由多个独立模块（如 user-service、order-service、gateway）组成，各自编译输出独立的可执行文件或 jar 包。应避免统一 COPY target/ 或 dist/ 这类聚合目录，而是在 Dockerfile 中为每个服务单独声明其制品路径：
- Java Spring Boot：COPY ./user-service/target/user-service-1.0.0.jar /app/user.jar
- Go 微服务：COPY ./order-service/order-service /app/bin/order-service
- Node.js 网关：COPY ./gateway/dist/ /app/gateway/
这样每条 COPY 对应一个明确的服务单元，便于版本追踪、安全扫描和灰度发布。
利用多阶段构建隔离构建环境与运行时
每个模块可定义专属构建阶段，避免交叉污染。例如：
- 第一阶段用 maven:3.8-openjdk-17 构建 user-service，生成 jar
- 第二阶段用 openjdk:17-jre-slim，仅 COPY --from=0 /workspace/user-service/target/*.jar /app/
- 第三阶段（可选）用 distroless/java17，COPY --from=1 /app/user.jar /usr/app/
最终镜像不含 Maven、源码、test 目录，只有该模块所需的 jar 和 JRE 最小依赖，体积压缩 60% 以上，攻击面大幅收窄。
用 .dockerignore + 显式路径双重过滤无关内容
即使模块目录结构复杂（含 shared-lib、scripts、docs），也能通过组合策略确保只进制品：
- 在各模块根目录下设独立 .dockerignore，排除 *.java、src/、pom.xml、mvnw
- Dockerfile 中不写 COPY ./user-service/. .，而写 COPY ./user-service/target/user-service-*.jar .
- 若需配置文件，单独 COPY ./user-service/config/application-prod.yml /app/config/，不连带整个 config/ 目录
避免因误含 dev-only 配置或本地密钥导致生产事故。
统一 --chown 确保跨模块权限一致
所有服务模块在最终镜像中应以同一非 root 用户运行，防止权限混乱。推荐在基础运行阶段统一设置：
- RUN groupadd -g 1001 app && useradd -r -u 1001 -g app app
- COPY --chown=app:app --from=builder /workspace/user-service/target/*.jar /app/
- COPY --chown=app:app --from=builder /workspace/order-service/order-service /app/bin/
使用 UID/GID（如 1001:1001）而非用户名，规避不同基础镜像中用户名称不一致的问题；所有模块制品归属统一，后续 USER app 指令可无缝生效。
