COPY --from 是多阶段构建中跨阶段复制文件的唯一标准方式，支持阶段名、索引和外部镜像引用，需显式声明依赖，且应遵循最小化拷贝原则以优化体积与安全性。

COPY指令在多阶段构建中的核心作用

Docker 多阶段构建（multi-stage build）通过多个 FROM 指令划分构建流程，前一阶段生成的产物可被后一阶段复用。而 COPY --from=xxx 是实现跨阶段文件传输的唯一标准方式——它不复制整个镜像层，只提取指定路径下的文件或目录，轻量、精准、可控。

精准引用前一阶段：支持名称、索引与别名

COPY --from 后可接三种标识符：

• 阶段名称：在 FROM ... AS build-env 中定义别名，后续用 COPY --from=build-env /app/dist /usr/share/nginx/html
• 整数索引：从 0 开始计数（首阶段为 0），如 COPY --from=0 /out/binary /bin/app；但易因阶段顺序调整失效，不推荐生产使用
• 镜像引用：直接拉取外部镜像中的文件，例如 COPY --from=alpine:3.19 /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/，常用于注入可信证书或工具

避免隐式依赖：显式声明阶段依赖关系

Docker 构建器不会自动推断阶段间依赖。若某阶段需使用前一阶段输出，必须在该阶段中显式调用 COPY --from，否则该阶段将无法访问对应文件。常见错误包括：

• 忘记写 --from，导致 COPY 默认从构建上下文复制（可能报错“no such file”）
• 拼错阶段名或索引越界，构建失败并提示 “stage not found”
• 在基础阶段（如 FROM scratch）中未提前设置工作目录，导致目标路径不存在，需搭配 WORKDIR 或绝对路径确保写入成功

优化体积与安全性：过滤与最小化拷贝内容

跨阶段传输不是“全量搬运”，应遵循最小权限原则：

• 只拷贝运行时真正需要的文件，例如仅传编译后的二进制，而非整个 target/ 目录
• 利用 .dockerignore 配合 COPY，防止误传敏感文件（如 src/test、secrets.json）
• 对静态资源可结合 RUN chown -R nginx:nginx /usr/share/nginx/html 调整属主，避免以 root 运行服务
• 必要时用 RUN rm -rf /tmp/* 清理中间产物，确保最终镜像干净