Dockerfile精简核心是提升镜像体积、构建速度、可复现性与安全性：选精简基础镜像（如python:3.11-slim）、合并RUN指令并清理中间文件、优先用COPY而非ADD、善用.dockerignore、采用多阶段构建、显式声明WORKDIR和非root USER。
精简 Dockerfile 不是为了删减内容，而是让每一行指令都承担明确、高效、安全的职责。核心目标是：更小的镜像体积、更快的构建速度、更强的可复现性与运行时安全性。
选对基础镜像：从源头控制体积和风险
基础镜像决定下限。官方 slim 或 Alpine 变体通常比 full 版本小 70%–90%，漏洞面也更窄。
- 用 python:3.11-slim 替代 python:3.11；用 node:20-alpine 替代 node:20
- 避免 :latest 标签——它会导致不同时间构建结果不一致，改用具体版本如 nginx:1.25.4-alpine
- 对无依赖的二进制程序，考虑 FROM scratch 或 distroless 镜像（如 gcr.io/distroless/static-debian12）
合并 RUN 指令并清理中间产物
每个 RUN 都新增一层，残留的缓存、临时文件会永久留在镜像中。
- 把 apt update / install / clean 写在同一行：
RUN apt-get update && apt-get install -y --no-install-recommends curl && rm -rf /var/lib/apt/lists/* - 安装 Python 包时加 --no-cache-dir；Node.js 用 npm ci --only=production 替代 npm install
- 不要分多行写 RUN：避免产生冗余层和未清理的中间状态
COPY 和 ADD 要各司其职
COPY 是默认首选；ADD 功能强但行为隐含，容易引发意外。
- 本地文件复制一律用 COPY ./src /app/src
- 需要自动解压 tar.gz 或下载远程 URL？别用 ADD——改用 RUN + curl + tar 显式控制流程
- 用 .dockerignore 排除 node_modules、.git、logs 等无关内容，缩小构建上下文
用好多阶段构建：分离构建与运行环境
尤其适合 Go、Rust、Java、TypeScript 等需编译的语言，或需要构建工具链但运行时不依赖它们的场景。
- 第一阶段用完整 SDK 镜像（如 golang:1.21）完成编译
- 第二阶段用极简镜像（如 alpine:3.18 或 scratch），只 COPY 编译好的二进制文件
- 最终镜像不含编译器、源码、开发依赖，体积可降低 80% 以上，攻击面大幅收窄
补充关键细节提升健壮性
这些不是“锦上添花”，而是生产就绪的必要项。
- 显式声明 WORKDIR，避免路径歧义
- 用 USER nonroot 或自建非 root 用户运行应用，禁用 root 权限
- EXPOSE 是文档性质，不影响实际网络；真正开放端口靠运行时 -p
- 一个 Dockerfile 只保留一个 CMD（多个 CMD 仅最后一个生效）
