RUN指令需合并安装与清理、按用途分组依赖、固定关键包版本、避免update单独成行，以确保镜像轻量、可重现且安全。
run 指令是 dockerfile 中用于在构建镜像时执行系统命令的核心指令，它直接决定依赖是否装得干净、镜像是否轻量、构建是否可复现。关键不是“能不能运行命令”，而是“怎么运行才合理”。
用单层 RUN 合并安装与清理
每条 RUN 都会生成一层镜像，中间残留的缓存或临时文件会固化进层中，白白增大体积。应把更新源、安装包、清理动作写在同一 RUN 中，用 && 连接，确保任一环节失败则整条终止：
- Debian/Ubuntu：
RUN apt-get update && apt-get install -y --no-install-recommends curl wget && apt-get clean && rm -rf /var/lib/apt/lists/* - CentOS/RHEL：
RUN yum install -y --setopt=install_weak_deps=False git make && yum clean all - Alpine：
RUN apk add --no-cache curl wget openssl（--no-cache自动跳过索引缓存并清理）
按用途分组依赖，避免混装
不同角色的软件不该挤在同一个 RUN 里。基础工具、构建依赖、运行依赖应物理隔离：
- 早期层放通用工具：curl、tar、ca-certificates——供后续多步复用
- 构建阶段（尤其 multi-stage）单独装 gcc、cmake、python-dev 等，编译完即丢弃该层
- 最终镜像只保留运行必需的库，如
libpq5（不是libpq-dev），libssl1.1（不是openssl-dev）
固定关键包版本，保障可重现性
不指定版本号会导致不同时间构建出不同结果。对底层库、安全相关组件、或行为敏感的包（如 libxml2、zlib），显式写死版本：
apt-get install -y libpng16-16=1.6.37-3apk add --no-cache nginx=1.24.0-r3- 配合
apt-mark hold（如需长期锁定）
慎用 apt-get update 单独成行
单独写 RUN apt-get update 是常见错误：该层缓存可能过期，后续 install 仍用旧索引，导致安装失败或版本错乱。除非你要切换源或加第三方 repo，否则 update 必须和 install 写在同一 RUN 中，且紧邻其前。
