不能直接 from mysql:alpine 做精简，因其内置 mysqld_safe、mysql_upgrade、全量字符集、performance schema 和 audit_log 插件等冗余组件，且用户 uid（999）与 alpine 冲突、初始化流程不可跳过；必须基于 alpine:3.18 手动构建，仅保留 stripped mysqld 二进制及必要 so 库，外置配置并显式禁用非关键功能。
直接用 mysql:alpine 镜像最省事，但若需自定义精简（比如去日志、关性能模式、固定UID），必须基于原生 alpine 手动构建，不能依赖官方 mysql 镜像的内部结构——它不公开构建逻辑，且默认含大量非必需组件。
为什么不能直接 FROM mysql:alpine 做精简？
官方 mysql:alpine 镜像虽小（约50MB），但实际是基于完整 MySQL 二进制打包，内置了：mysqld_safe、mysql_upgrade、全套系统表初始化脚本、默认 my.cnf 及多语言错误文件。这些在极简场景中全是冗余：
- 它默认启用 Performance Schema 和 audit_log 插件，内存占用比裸
mysqld高 20–30MB - 包含
/usr/share/mysql/charsets/全量字符集（仅需 latin1 + utf8mb4） - 用户管理仍走传统
mysql_install_db流程，无法跳过初始化阶段 - 镜像内用户为
mysql（UID 999），与 Alpine 常见 UID 冲突，且未禁用 shell 登录
如何从 alpine:3.18 构建真正极简的 mysqld 二进制？
核心思路：不装包，只拷二进制；不跑初始化，用 --initialize-insecure + 空数据目录启动；所有配置外置。实操要点：
- 优先使用预编译的极简二进制（如来自
mysql-5.7.44-linux-glibc2.12-x86_64.tar.gz的bin/mysqld），删掉bin/mysql、scripts/、share/全部子目录，仅保留bin/mysqld和必要 so（lib/libpthread.so.0、lib/libcrypt.so.1） - 若必须源码编译，
cmake必加：-DWITHOUT_SERVER=OFF -DWITHOUT_TEST=ON -DWITHOUT_DOCS=ON -DWITH_EMBEDDED_SERVER=OFF -DCMAKE_BUILD_TYPE=MinSizeRel - 用
ldd ./bin/mysqld | grep "not found"检查缺失库，musl 下常见缺libresolv.so，需apk add --no-cache libresolv补齐（不是glibc那套） - 最终二进制大小应控制在
8–12MB，strip --strip-unneeded后可再减 2MB
运行时最小化配置与权限控制
极简 ≠ 不安全。关键配置必须显式声明，否则 mysqld 会加载默认值（如开启 query cache、log-bin）：
- 启动命令必须带：
mysqld --no-defaults --user=appuser --datadir=/var/lib/mysql --pid-file=/var/run/mysqld.pid --socket=/var/run/mysqld.sock --skip-networking --skip-grant-tables（首次初始化后改用--skip-grant-tables→--skip-host-cache） -
my.cnf至少禁用：performance_schema=OFF、innodb_buffer_pool_size=8M、max_connections=16、log_error=null（不写日志） - 用户必须用
adduser -D -u 1001 -G appgroup appuser创建，COPY --chown=appuser:appgroup数据目录，USER appuser:appgroup放在CMD前——mysqld进程 UID 必须是数字，不能是用户名（Alpine 的/etc/passwd在容器里可能被覆盖）
验证是否真“极简”：三个必查点
跑起来不等于精简到位。容易忽略的是内存和文件残留：
- 进容器执行
ps auxf，确认只有mysqld进程，无mysqld_safe或sh包裹层 - 检查
/proc/$(pgrep mysqld)/maps，确认加载的 so 不超过 5 个（musl、pthread、crypt、resolv、mariadbclient） - 用
docker export <cid> | tar -t | grep -E "(share|test|docs|man)"</cid>，输出应为空——任何匹配都说明有冗余路径被打包进去
