关键不是“装完再删”，而是“装、用、删必须在同一条RUN里完成”；因Docker分层机制，拆分RUN会导致缓存残留于镜像层中，正确做法是链式执行如RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/*。
解决 Docker 镜像构建中 RUN 指令导致的临时文件残留，关键不是“装完再删”，而是“装、用、删必须在同一条 RUN 里完成”。因为 Docker 的分层机制决定了：只要清理动作不在同一层执行，那些缓存就永远留在镜像里——哪怕看不见，体积和安全风险都在。
合并命令，在单条 RUN 中闭环清理
把 apt 更新、安装、清理写成一条链式命令，确保所有操作落在同一镜像层：
- ✅ 推荐写法：RUN apt-get update && apt-get install -y curl nginx && rm -rf /var/lib/apt/lists/*
- ❌ 避免拆分：RUN apt-get update
RUN apt-get install -y curl nginx
RUN rm -rf /var/lib/apt/lists/*（这会生成 3 层，第二层残留完整 apt 缓存） - 对 Alpine 系统，用 apk add --no-cache 替代普通安装，天然跳过缓存写入
- pip 安装时加 --no-cache-dir，避免 .cache/pip 占用几十 MB
按包管理器特性选择清理方式
不同系统缓存位置和清理逻辑不同，不能套用同一句命令：
- Debian/Ubuntu：rm -rf /var/lib/apt/lists/* 清空软件包索引缓存；如装了编译工具，还需 apt-get autoremove -y && apt-get clean
- Alpine：apk --no-cache add 是首选；若已安装，可用 apk del .build-deps 删除标记的构建依赖
- Python 项目：pip install --no-cache-dir -r requirements.txt，避免缓存包和 wheel 文件
- Node.js：RUN npm ci --only=production && npm cache clean --force，跳过 devDependencies 并清 npm 缓存
用多阶段构建彻底隔离构建环境
如果镜像里根本不需要编译器、源码、头文件，那就别让它进去——这是最干净的“不残留”方案：
- 第一阶段用 golang:1.22 或 node:20 构建，完成编译或打包
- 第二阶段基于 alpine:3.19 或 distroless，只 COPY --from=builder 最终二进制或 dist 目录
- 运行镜像体积通常压缩 70%~90%，且不含任何包管理器、shell 或未使用库
启用 BuildKit 提升指令优化能力
现代 Docker 默认启用 BuildKit，它能更智能地合并隐式依赖、跳过未变更层。配合显式声明可进一步强化效果：
- 在 Dockerfile 开头加 # syntax=docker/dockerfile:1
- 构建时设置 DOCKER_BUILDKIT=1，自动启用中间层优化
- 如需极致瘦身且接受调试成本，可加 --squash（Docker 23.0+ 需显式启用），但仅建议用于发布镜像
