应采用Docker多阶段构建策略：先用node:20-alpine AS builder安装依赖并构建，再以node:20-alpine-slim为运行镜像复制产物，添加非root用户、清理冗余文件、启用BuildKit缓存及只读文件系统，实现轻量、安全、可复现的ClawBot镜像。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您尝试为 ClawBot 构建轻量、安全且可复现的 Docker 镜像，但发现单阶段构建导致镜像臃肿或包含冗余构建工具，则需采用多阶段构建策略。以下是生成符合 ClawBot 特性的 Docker 多阶段构建配置的具体方法：
一、基于官方源码的 Alpine 多阶段构建
该方式利用 Alpine Linux 作为运行时基础镜像，分离构建与运行环境，显著压缩最终镜像体积并减少攻击面。适用于资源受限或需高安全性部署的场景。
1、创建名为 Dockerfile.multi 的文件，内容起始为 FROM node:20-alpine AS builder，用于安装依赖与编译前端资源。
2、在 builder 阶段执行 npm ci --only=production && npm run build，确保仅安装生产依赖并生成 dist 目录。
3、新增运行阶段 FROM node:20-alpine-slim，避免引入完整 alpine 工具链。
4、使用 COPY --from=builder /app/dist /app/dist 和 COPY --from=builder /app/node_modules /app/node_modules 复制必要产物。
5、设置非 root 用户：添加 RUN addgroup -g 1001 -f nodejs && adduser -S nextjs -u 1001 并以 USER nextjs 切换身份运行服务。
二、Node.js 与 Python 混合环境的双构建器模式
ClawBot 若集成 Python 后端插件（如 LLM 调用桥接模块），需在构建阶段分别处理两类语言生态。此方案通过两个独立构建器阶段解耦依赖安装逻辑，防止交叉污染。
1、定义 FROM python:3.11-slim AS python-builder 阶段，执行 pip install -r requirements.txt -t /tmp/python-deps 并导出纯依赖目录。
2、定义 FROM node:20-alpine AS node-builder 阶段，执行 npm ci && npm run build，生成静态资源与服务入口。
3、在最终运行阶段 FROM node:20-alpine-slim 中，同时复制 --from=python-builder /tmp/python-deps /app/python_deps 与 --from=node-builder /app/dist /app/dist。
4、将 Python 依赖路径注入 NODE_OPTIONS：设置环境变量 ENV NODE_OPTIONS="--require /app/python_deps/inject.py" 实现混合运行时桥接。
三、启用 BuildKit 的条件化构建优化
利用 BuildKit 的 --mount=type=cache 特性可加速 node_modules 和 pip 缓存复用，避免每次构建重复下载，特别适合 CI 环境下的高频触发部署。
1、在 shell 中启用 BuildKit：设置 export DOCKER_BUILDKIT=1。
2、在 node-builder 阶段添加缓存挂载：使用 RUN --mount=type=cache,target=/root/.npm,key=npm-cache,nocache=0 npm ci。
3、在 python-builder 阶段添加缓存挂载：使用 RUN --mount=type=cache,target=/root/.cache/pip,key=pip-cache,nocache=0 pip install -r requirements.txt。
4、在构建命令中显式指定输出格式以支持分层缓存：执行 docker build --progress=plain --output type=docker,name=clawbot:multi . -f Dockerfile.multi。
四、镜像瘦身与安全加固组合指令
在最终镜像生成后，通过标准指令移除调试工具、文档和未使用二进制文件，进一步缩小体积并提升运行时最小权限原则合规性。
1、在运行阶段开头添加清理指令：RUN apk del .build-deps && rm -rf /var/cache/apk/* /tmp/* /usr/share/man。
2、禁用交互式 shell：在 CMD 前插入 SHELL ["sh", "-euc"]，强制失败即终止。
3、验证文件完整性：在构建末尾添加 RUN sha256sum /app/dist/index.html | grep -q "^[a-f0-9]\{64\}" 确保构建产物未被篡改。
4、设置只读文件系统：启动容器时添加 --read-only --tmpfs /run --tmpfs /tmp 参数限制写入行为。
