多阶段构建是实现安全、轻量、可复现Docker镜像的核心方法：第一阶段用node:18-alpine编译，第二阶段仅复制dist目录至node:20-alpine运行镜像，结合USER非root权限、ARG/ENV环境适配、HEALTHCHECK健康检查及.dockerignore过滤，全面提升生产就绪能力。
编写 Dockerfile 支持复杂生产场景，核心不是“写完能跑”，而是让镜像足够安全、轻量、可复现、易维护，并能无缝对接 CI/CD 和编排系统。关键在于结构设计、构建优化和环境适配三者的结合。
多阶段构建：分离构建与运行环境
生产环境中必须避免将开发工具、源码、调试依赖打包进最终镜像。多阶段构建是标准解法——前一阶段用完整工具链编译/构建，后一阶段仅复制产物到精简运行时镜像中。
- 第一阶段（builder）使用
node:18-alpine或node:20-slim安装 devDependencies 并执行npm run build - 第二阶段（runner）切换为更小的运行镜像（如
node:20-alpine），只 COPY 编译产出的dist/目录和必要 runtime 依赖 - 显式指定
--production安装依赖，跳过 devDependencies，减少攻击面和体积
安全与最小化：基础镜像 + 权限控制
默认的 node:latest 或 ubuntu 镜像往往过大且含大量非必要组件，存在安全风险。
- 优先选用
alpine或slim变体（如node:20-alpine），体积通常小于 60MB - 禁止以 root 用户运行应用：添加
USER node指令，在非 root 用户下启动服务 - 用
.dockerignore排除node_modules/、.git、test/、*.md等，防止敏感信息或冗余文件进入构建上下文
环境适配与可配置性：构建参数与运行时变量
同一份 Dockerfile 应支持开发、测试、预发、生产等多环境，不靠修改代码或镜像，而靠参数注入。
- 用
ARG声明构建时变量（如NODE_ENV、APP_VERSION），在docker build --build-arg中传入 - 用
ENV设置容器内环境变量，供应用读取（如PORT、DB_HOST） - 避免在 Dockerfile 中硬编码配置；敏感值（密码、密钥）务必通过
docker run -e或docker-compose.yml的environment/secrets注入
健康检查与可观测性：让容器“会说话”
生产环境需要容器自我报告状态，便于编排系统自动判断是否就绪或需重启。
- 添加
HEALTHCHECK指令，定期调用应用健康端点（如curl -f http://localhost:3000/health || exit 1） - 设置合理的超时、重试与间隔（如
--interval=30s --timeout=3s --start-period=45s --retries=3） - 确保
CMD启动的是前台进程（如node dist/main.js），而非后台服务或 shell 脚本，否则容器会立即退出
