本文介绍使用 docker 多阶段构建，将 rust 应用编译为独立可执行文件并集成进 kotlin 应用容器，避免源码泄露、简化部署、提升安全性与可复现性。
本文介绍使用 docker 多阶段构建，将 rust 应用编译为独立可执行文件并集成进 kotlin 应用容器，避免源码泄露、简化部署、提升安全性与可复现性。
在容器化微服务或数据处理流水线中，常需跨语言协作——例如 Kotlin 后端服务调用高性能 Rust 工具（如 VCF 文件索引器）。直接在运行时 git clone 私有 Rust 仓库不仅暴露凭证风险、增加启动延迟，还违背“不可变镜像”原则。最佳实践是采用多阶段构建（Multi-stage Build）：前一阶段专注编译 Rust 程序，后一阶段仅保留其静态链接的二进制文件，与 Kotlin 应用共存于轻量级运行镜像中。
✅ 推荐方案：Rust 编译阶段 + Kotlin 运行阶段
以下是一个生产就绪的 Dockerfile 示例，假设你的 Kotlin 应用基于 Gradle 构建，Rust 项目位于私有 Git 仓库（需通过 SSH 或 Personal Access Token 认证）：
# 第一阶段：构建 Rust 可执行文件
FROM rust:1.78-slim AS rust-builder
WORKDIR /build/rust-indexer
# 安全注入 Git 凭据（推荐使用 Docker BuildKit 的 --secret）
RUN --mount=type=ssh,id=github_ssh \
git clone git@github.com:your-org/vcf-indexer.git . && \
cargo build --release
# 第二阶段：构建 Kotlin 应用（基于 JRE 运行时）
FROM gradle:8.5-jdk17-slim AS kotlin-builder
WORKDIR /app
COPY . .
RUN gradle build --no-daemon
# 第三阶段：最终精简运行镜像
FROM openjdk:17-jre-slim-sid
# 安装 Rust 程序所需的基础依赖（如 glibc 兼容性库，通常已满足）
RUN apt-get update && apt-get install -y libssl3 && rm -rf /var/lib/apt/lists/*
# 从 rust-builder 阶段复制编译好的二进制（无源码、无 Cargo.lock）
COPY --from=rust-builder /build/rust-indexer/target/release/vcf-indexer /usr/local/bin/vcf-indexer
# 从 kotlin-builder 阶段复制打包好的 fat-jar
COPY --from=kotlin-builder /app/build/libs/app-*.jar /app/app.jar
# 验证 Rust 程序可用性（可选，增强健壮性）
RUN vcf-indexer --version
# 启动 Kotlin 主应用（它可通过 ProcessBuilder 调用 vcf-indexer）
ENTRYPOINT ["java", "-jar", "/app/app.jar"]? 关键要点说明
- 安全拉取私有仓库：切勿在 Dockerfile 中硬编码 Token 或密码。推荐使用 BuildKit secrets（如 --secret id=git_auth,src=~/.ssh/id_rsa），配合 RUN --mount=type=secret 安全挂载凭据。
- 静态链接（可选但推荐）：若 Rust 项目支持 cargo build --release --target x86_64-unknown-linux-musl 并启用 [[package.metadata.docker]] 配置，可生成完全静态二进制，彻底消除 glibc 依赖，使最终镜像更小、更便携。
- Kotlin 调用方式保持不变：在代码中仍使用 ProcessBuilder 执行 vcf-indexer --input input.vcf --output index.db，无需修改逻辑；Docker 仅负责环境交付。
- 镜像体积优化：最终镜像仅含 OpenJDK JRE + Kotlin jar + Rust 二进制（通常 <15MB），远小于同时安装 Rust 工具链和 JDK 的单阶段镜像（>1GB）。
⚠️ 注意事项
- Rust 项目需确保 Cargo.toml 中 [[bin]] 配置正确，且 cargo build --release 输出路径与 COPY --from= 指定路径一致；
- 若 Rust 程序依赖特定系统库（如 libz、liblzma），需在最终 FROM 镜像中 apt-get install 对应 -dev 或运行时包；
- 建议为 Rust 二进制添加 HEALTHCHECK 指令（如 HEALTHCHECK CMD timeout 5 vcf-indexer --help || exit 1），便于容器编排平台健康探测。
通过多阶段构建，你既保障了 Rust 工具链的完整性与可重现性，又实现了 Kotlin 应用的轻量化、安全化部署——无需共享源码、不暴露凭证、不冗余安装编译器，真正践行云原生最佳实践。
