安全使用 COPY 的核心是控制上下文边界、内容可见性和文件归属：确保源文件在构建上下文中，用 .dockerignore 排除敏感文件，优先用 COPY 而非 ADD，善用 --chown 精准设归属，注意路径末尾斜杠对复制行为的影响。
COPY 指令本身不“不安全”，但用错位置、路径或权限，就容易引发构建失败、镜像臃肿、权限失控甚至敏感信息泄露。真正安全的复制，核心是控制好三件事：上下文边界、内容可见性、文件归属。
确保源文件严格落在构建上下文中
Docker 构建时只打包你指定的目录（即 build context），上下文外的任何路径（比如 /home/user/configs 或 ../secrets）在 COPY 里都不可见，强行写会直接报错。
- ✅ 正确做法：在项目根目录执行
docker build -t myapp .，把要复制的config.yaml、static/等放在该目录或其子目录下 - ✅ 利用
.dockerignore排除不需要的文件（如node_modules、*.log、.env），既加快构建，也防止误传敏感内容 - ❌ 避免在 Dockerfile 中写类似
COPY ../private/key.pem /app/—— 这永远失败，不是权限问题，是路径根本不存在于上下文
优先用 COPY，慎用 ADD
ADD 功能多，但副作用也多；COPY 行为单一、可预期，是安全复制的默认选择。
- ✅ 用 COPY 复制源码、配置、前端产物：
COPY package.json .、COPY src/ /app/src/ - ✅ 只有本地 tar 包需解压时才考虑 ADD：
ADD app.tar.gz /opt/（但仍建议先解压再 COPY，更可控） - ❌ 绝对不用 ADD 拉远程 URL：
ADD https://example.com/config.json /app/—— 构建不可重现、无法缓存、还可能因网络中断失败
用 --chown 精准控制文件归属，避免后续 chown
复制后手动 RUN chown 不仅多一层镜像，还可能因用户未创建而失败。--chown 能一步到位，且语义清晰。
- ✅ 复制代码给应用用户：
COPY --chown=node:node . /home/node/app（前提是基础镜像中已存在 node 用户） - ✅ 在精简镜像中用 UID/GID 更稳妥：
COPY --chown=1001:1001 config/ /etc/myapp/ - ✅ 目标路径无需提前 mkdir —— COPY 会自动创建中间目录，包括权限设置一并完成
注意路径末尾斜杠带来的行为差异
源路径是否带 /，决定你是“复制内容”还是“复制整个目录”，这点常被忽略，导致容器内结构错乱。
- ✅
COPY assets/ /app/static/→ 把assets下所有文件和子目录放进/app/static/ - ✅
COPY assets /app/static→ 创建/app/static/assets/，再把内容放进去 - ⚠️ 若目标是空目录且你希望保持扁平结构，漏掉源路径的
/就会多嵌套一层，影响应用读取逻辑
