docker镜像体积失控主因是大文件写入触发分层固化机制，优化需确保大文件不落地、不残留、不传播：采用单层闭环（所有操作压缩进一条run）、多阶段构建（隔离中间产物）、按需拉取替代全量copy、选用distroless或scratch等轻量基础镜像。
大文件写入是 docker 镜像体积失控的最常见诱因，根源不在“要不要用大文件”，而在于分层机制下“写入即固化、删除不释放”的刚性约束。优化策略必须围绕让大文件不落地、不残留、不传播来设计，核心是控制其生命周期边界。
单层闭环：所有动作压缩进一条 RUN 指令
任何涉及下载、解压、编译、清理的动作，必须在同一个 RUN 中完成。拆成多行会让中间产物（比如 200MB 的 .tar.gz 或 node_modules）被固化为独立层，后续 rm 只是标记删除，实际字节仍保留在镜像中。
- ✅ 正确：RUN wget -O - https://example.com/app.tar.gz | tar -xzf - && ./build.sh && rm -rf build/ *.tar.gz
- ❌ 错误：RUN wget https://example.com/app.tar.gz
RUN tar -xzf app.tar.gz
RUN ./build.sh
RUN rm -f app.tar.gz build/
多阶段构建：把大文件锁死在 builder 阶段
如果大文件只是构建中间物（如 Go 编译缓存、Java target、node_modules），就绝不让它进入最终镜像。用多阶段天然隔离生命周期：
- 第一阶段用完整工具链（golang:1.21、node:18）完成全部构建
- 第二阶段用 distroless 或 alpine，只 COPY 最终产出（二进制、dist/、public/）
- builder 阶段的所有中间层、依赖、源码、缓存，在最终镜像里完全不存在
按需拉取替代全量 COPY
避免 COPY 整个本地 node_modules、vendor 或 dist 目录——它们往往包含 dev 依赖、调试工具、.DS_Store 等冗余内容。更可控的做法是：
- 在 .dockerignore 中排除 node_modules、build、dist、.git 等目录
- 用 RUN npm ci --only=production 或 RUN pip install --no-cache-dir -r requirements.txt 在容器内安装
- 对前端项目，用 RUN npm ci && npm run build 生成静态产物，再 COPY ./dist ./public
基础镜像轻量化：从源头掐断大文件温床
Ubuntu/Debian 镜像自带 apt 缓存、man 文档、locale 数据等数百 MB 冗余；Alpine 虽小，但 apk add 默认保留索引缓存。真正零冗余的选择是：
- distroless：无 shell、无包管理器、无 /bin/sh，仅含运行时依赖（如 java、ca-certificates）
- scratch：空镜像，适合静态链接的 Go/Rust 二进制，体积趋近于 0
- 使用前提：通过多阶段 COPY 必要证书、JRE 或动态库，确保运行时功能完整
