RUN指令安装依赖应坚持最小化、可复现、分层合理原则：合并安装与清理于单层，用&&连接并清除缓存；Debian/Ubuntu用--no-install-recommends，CentOS用--setopt=install_weak_deps=False，Alpine用--no-cache；按功能分组依赖，构建时与运行时分离；关键包需固定版本以保障可重现性。
RUN 指令安装系统依赖应聚焦“最小化、可复现、分层合理”三个核心原则，避免直接写多个 apt-get install 或 yum install 命令堆叠，尤其要规避缓存失效和残留包问题。
合并安装与清理操作（推荐单层执行）
将包安装和临时文件清理放在同一 RUN 中，防止中间层残留 apt/yum 缓存或未清理的构建依赖。例如 Debian/Ubuntu 系统应这样写：
- 用
&&连接命令，确保前一步失败时整行中断 - 安装后立即删除包管理器缓存（
apt-get clean）和临时列表（rm -rf /var/lib/apt/lists/*） - 不单独运行
apt-get update，除非后续有自定义源或特定版本需求
示例（Debian/Ubuntu）：
RUN apt-get update && \
apt-get install -y --no-install-recommends \
curl \
wget \
libpq5 \
&& apt-get clean && \
rm -rf /var/lib/apt/lists/*
使用 --no-install-recommends（精简体积）
Debian/Ubuntu 默认会安装推荐包（recommends），这些非必需依赖会显著增大镜像体积且可能引入冗余服务。显式添加该参数是最佳实践。
- CentOS/RHEL 系统对应使用
--setopt=install_weak_deps=False（yum v4+）或--exclude=*配合白名单 - Alpine 使用
apk add --no-cache，它自动跳过索引缓存并清理临时文件
按功能分组、避免跨阶段混装
不同用途的依赖应分离到不同 RUN 层，便于缓存复用和权限控制：
- 基础工具（curl、tar、gzip）放在早期层，供后续步骤复用
- 构建时依赖（如 gcc、make、cmake）应在独立层安装，并在编译完成后立即卸载（或仅用于 multi-stage 构建的 builder 阶段）
- 运行时依赖（如 libssl、libglib）必须出现在最终镜像中，且不应包含开发头文件（如
*-dev或*-devel）
错误示例（混装且未清理）：
RUN apt-get update && apt-get install -y build-essential RUN ./configure && make && make install RUN apt-get install -y libpng16-16
正确做法：构建依赖放 builder 阶段；运行依赖单独安装，且不带 -dev 后缀。
固定包版本提升可重现性
不指定版本可能导致不同时间构建结果不一致。对关键依赖建议锁定版本号：
- Debian/Ubuntu：
package=1.2.3-4（注意含 epoch 和 revision） - Alpine：
package-1.2.3-r0 - 避免使用通配符（如
libpq*）或模糊表达式（如>=1.0）
小提示：可用 apt list --installed | grep xxx 在调试镜像中确认实际安装版本，再反向写入 Dockerfile。
