add指令不能同时下载并解压远程压缩包，仅对构建上下文内的tar系压缩包自动解压；远程文件仅下载不解压，需配合run手动解压；生产环境应避免直接add远程资源以保障可重现性。
add 指令可以添加远程 url 文件，也能自动解压本地压缩包，但这两件事**不能同时发生**——它不会对从 url 下载的压缩包自动解压。关键在“源文件是否位于构建上下文内”。
添加远程 URL 文件（仅下载，不解压）
ADD 支持直接从 HTTP/HTTPS 地址拉取文件，例如：
-
ADD https://example.com/app.tar.gz /app/→ 把压缩包完整复制进镜像 /app/ 目录，不展开 - 下载后的文件权限默认是 600，若需执行或读取，得额外用
RUN chmod +x /app/app.tar.gz - 不支持带认证的 URL（如需账号密码），应改用
RUN curl -u user:pass或提前下载校验
自动解压本地压缩包（一步到位）
只有当压缩包本身存在于 Docker 构建上下文（即 docker build . 执行目录及其子目录）中，ADD 才会触发自动解压：
OpenClaw Docker Setup
下载
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
-
ADD nginx-1.24.0.tar.gz /usr/src/→ 自动解压到 /usr/src/nginx-1.24.0/ - 支持格式包括：.tar、.tar.gz、.tgz、.tar.bz2、.tar.xz、.tar.zst（较新版本）
- 目标路径必须是目录（可不存在，Docker 会创建），且不能是已存在的普通文件
想实现“远程下载 + 解压”？分两步走
URL 源无法自动解压，所以需组合 ADD 和 RUN：
- 先用 ADD 下载：
ADD https://example.com/fonts.zip /tmp/fonts.zip - 再用 RUN 解压并清理：
RUN unzip /tmp/fonts.zip -d /usr/share/fonts/ && rm /tmp/fonts.zip - 更推荐方式：构建前把 zip 下载好放本地，改用
ADD fonts.zip /usr/share/fonts/→ 但注意，ZIP 不在自动解压列表里，仍需 RUN unzip；真正能一步解压的只有 tar 系列
安全与可维护提醒
生产环境慎用 ADD 下载远程资源：
- 破坏构建可重现性（URL 内容可能变更或失效）
- 引入网络依赖，CI 构建易失败
- 建议提前下载、SHA256 校验、放入项目目录，再用 ADD 或更稳妥的 COPY
- 纯复制本地文件/目录场景，优先用 COPY；ADD 仅用于明确需要解压或临时拉取的场合
