核心是让每层更干净、更必要：合并RUN指令并在单层内完成清理，启用多阶段构建只保留运行时产物，用.dockerignore排除冗余文件，选轻量基础镜像（如alpine或distroless）。
解决 Dockerfile 多层构建导致镜像臃肿，核心不是删层，而是让每层更“干净”、更“必要”。关键在于控制层生成逻辑，把临时操作锁死在单层内，同时用阶段隔离彻底剔除构建痕迹。
合并 RUN 指令，清理必须在同一层完成
Docker 每条 RUN 都固化一层，若安装后不清理，缓存、索引、下载包就全留在镜像里。比如 apt-get update 和 install 分开写，第二层会残留完整的 /var/lib/apt/lists/；而 rm -rf 放在第三层，根本清不掉前两层的数据。
- ✅ 正确写法：所有操作用 && 连成一条命令，在单个 RUN 中闭环
- RUN apt-get update && apt-get install -y nginx curl && rm -rf /var/lib/apt/lists/*
- ⚠️ 注意：apk add 后要用 apk del 清理（Alpine），pip install 后建议加 --no-cache-dir，并删掉 ~/.cache/pip
启用多阶段构建，只保留运行时产物
这是最有效的“减法”。编译、打包、测试等重操作全放在 builder 阶段，最终镜像只 COPY 编译好的二进制、JAR、dist 目录等真正需要的文件，彻底甩掉编译器、源码、node_modules（除非运行时动态加载）、.git、测试代码等。
- 给构建阶段命名：FROM golang:1.22-alpine AS builder
- 运行阶段用最小基础镜像：FROM alpine:3.19 或 gcr.io/distroless/java17
- COPY --from=builder 只复制明确路径，避免 COPY --from=builder /app/ 整个目录带入隐藏文件
用 .dockerignore 排除构建上下文中的冗余文件
构建时整个当前目录（build context）都会上传到 Docker daemon。哪怕 Dockerfile 没 COPY node_modules/.git/coverage，它们也参与了构建过程，影响缓存命中率，甚至意外被 ADD 指令引入（ADD 会自动解压 tar 包）。
- 项目根目录下建 .dockerignore，至少包含：
- node_modules/
- .git/
- .gitignore
- README.md *.md
- Dockerfile .dockerignore
- log/ *.log *.tmp
选对基础镜像，从源头压体积
基础镜像占最终体积大头。ubuntu:latest 是“全家桶”，alpine:latest 是“轻装上阵”，distroless 是“裸奔上线”。选哪个取决于运行时依赖：
- 纯 Go/Python/JS 应用 → 优先 alpine 或 distroless
- 含 C 扩展（如 psycopg2、numpy）→ 用 debian:slim，避开 musl libc 兼容问题
- Java 应用 → 用 eclipse-temurin:17-jre-jammy（比 jdk 小一半），或 distroless/java17（无 shell，更安全）
- Node.js → node:20-alpine（约 120MB），别用 node:20（超 1GB）
