系统级裁剪是镜像构建的底层安全实践，核心是仅保留内核识别、进程执行、网络通信、日志写入四类能力所需的最小文件集合，需选对基础镜像、用多阶段构建、合并清理指令、.dockerignore精准过滤，并在运行时移除临时文件与调试工具。
系统级裁剪不是“删文件”那么简单，而是从镜像构建的底层逻辑出发，针对性地剥离操作系统中与运行应用无关的所有冗余成分。核心在于：让最终镜像只保留内核能识别、进程能执行、网络能通信、日志能写入这四类最基础能力所需的最小文件集合。
选对基础镜像，裁掉整套发行版
基础镜像决定下限。ubuntu:22.04 含完整 APT 工具链、 man 手册、locale 数据、systemd、大量 /usr/share 内容，体积约 77MB；而 alpine:3.20 仅含 musl libc + busybox + apk，精简到 5MB；scratch 更是空镜像（0B），只适合静态编译二进制。
- Go/Rust 程序 → 直接用 scratch，编译时加
CGO_ENABLED=0确保无动态链接依赖 - Python/Node.js → 优先用 alpine 或 -slim 镜像（如
python:3.12-slim），避免 debian/ubuntu 全量版 - Java 应用 → 不要用
openjdk:17-jdk（含 javac、javadoc、调试工具），改用openjdk:17-jre-slim或eclipse-jre:17-alpine
用多阶段构建，裁掉整个构建环境
单阶段镜像常把编译器、包管理器、源码、缓存、测试工具全打包进去。多阶段构建本质是“只搬运产物，不搬运工厂”。比如 Node.js 项目：
- 第一阶段用
node:18安装依赖、执行npm run build，生成dist/ - 第二阶段用
alpine:latest，只COPY --from=0 /app/dist .，不带 npm、git、node_modules 源码、.git 目录 - 最终镜像里没有
/usr/bin/gcc、/root/.npm、/app/node_modules/.bin/webpack这类构建期残留
在单层内完成“安装+清理”，裁掉写时复制（CoW）膨胀
Docker 层是只读的，RUN apt-get install 和 RUN rm -rf /var/lib/apt/lists/* 分两层写，前者体积照旧，后者只是标记删除——实际空间不释放。必须合并到同一层：
- ✅ 正确：
RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/* - ❌ 错误：
RUN apt-get update && apt-get install -y curl+ 下一行RUN rm -rf /var/lib/apt/lists/* - 同理，
pip install要加--no-cache-dir，apk add要加--no-cache
用 .dockerignore 精准裁掉构建上下文
构建时 docker build . 默认把当前目录所有文件发给 daemon。一个没忽略 .git、node_modules、dist、logs 的项目，光上下文就几百 MB，还可能触发错误 COPY。
- 必须创建
.dockerignore文件，至少包含：.git<br>node_modules<br>dist<br>build<br>logs<br>*.log<br>README.md<br>.env
- 验证方法：
docker build --no-cache --progress=plain . 2>&1 | grep "Sending build context"，确认发送量合理
运行时再裁：启动后移除临时文件与调试工具
有些文件虽非构建残留，但运行时也无需存在，比如证书更新缓存、字体配置、区域设置数据：
- Alpine 中可运行：
apk del .build-deps && rm -rf /var/cache/apk/*（前提是之前用apk add --virtual .build-deps安装过构建依赖） - Debian/Ubuntu 中：
apt-get clean && rm -rf /var/lib/apt/lists/* /tmp/* /var/tmp/* - 统一清理 locale：
rm -rf /usr/share/i18n /usr/share/locale /usr/share/doc（除非应用明确需要多语言支持）
