支持多租户隔离的Dockerfile核心是为运行时隔离奠基：精简基础镜像、禁用默认服务、删除冗余包、不固化EXPOSE/CMD、用ENTRYPOINT+环境变量实现配置动态化、声明VOLUME挂载点、非root用户降权、预留安全参数钩子。
编写支持多租户隔离的 Dockerfile，核心不是在 Dockerfile 里“写隔离”，而是为后续运行时隔离打下基础：确保镜像干净、最小化、无硬编码配置，并预留运行时参数入口。真正的隔离由启动方式（网络、cgroup、userns）和编排层（如 Compose 或 Kubernetes）共同完成。
精简基础镜像，避免默认服务暴露
多租户环境严禁容器内自带监听服务（如 nginx、redis-server），除非明确为租户独占实例。Dockerfile 应只打包应用二进制或代码，不启动守护进程：
- 优先选用
alpine:latest或debian:slim，禁用:full或:latest（易含冗余服务） - 删除所有非必需包：
apk del .build-deps（Alpine）或apt-get autoremove -y（Debian） - 禁止在 Dockerfile 中使用
EXPOSE 80或CMD ["nginx"]—— 端口暴露和启动行为应由部署层统一控制
声明可配置入口点，适配租户差异化需求
不同租户可能需要不同配置文件路径、日志级别或认证方式。Dockerfile 要支持运行时注入，而非固化值：
- 用
ENTRYPOINT ["/usr/local/bin/entrypoint.sh"]替代直接CMD，把启动逻辑外置 - 在
entrypoint.sh中读取环境变量（如TENANT_ID、CONFIG_PATH）动态加载配置 - 挂载配置时依赖
VOLUME ["/etc/app/config"]声明挂载点，但不在镜像中预置敏感内容
规避 root 权限，配合用户命名空间启用
即使未启用 userns-remap，也应在构建阶段主动降权，防止容器内 root 映射后仍具高权限风险：
- 添加非 root 用户：
RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001 - 切换用户：
USER appuser:appgroup（放在COPY和RUN之后，ENTRYPOINT之前） - 确保所有文件属主为该用户：
RUN chown -R appuser:appgroup /app
预留安全加固钩子，便于运行时注入
Dockerfile 可为后续安全策略留出接口，例如 SELinux 标签、seccomp 或 capabilities 控制：
- 在注释中说明推荐的安全运行参数：
# Recommended: docker run --security-opt seccomp=seccomp.json --cap-drop=ALL ... - 若应用需特定 capability（如
NET_BIND_SERVICE），显式声明而非默认开启：# Requires --cap-add=NET_BIND_SERVICE at runtime - 避免在镜像中安装
curl、bash等调试工具——它们会扩大攻击面，应通过临时调试容器处理
