Dockerfile 中 RUN 命令应分段清晰、依赖明确、规避缓存与 shell 陷阱：用反斜杠续行+&&串联；管道重定向替代临时文件；set -e 确保错误退出；优先 WORKDIR 降低路径风险；复杂逻辑用 shell 格式，纯执行可用 exec 格式。

在 Dockerfile 中用 RUN 执行复杂安装命令，核心是让多行命令可读、可靠、可维护——不是简单拼接，而是合理分段、处理依赖、规避缓存失效和 shell 陷阱。

用反斜杠换行 + shell 语法组织长命令

Docker 的 RUN 默认使用 /bin/sh -c，支持标准 shell 语法。把长命令拆成多行时，用反斜杠 \ 续行，并用 && 连接逻辑步骤，确保任一环节失败整个 RUN 失败（避免静默错误）：

• 先更新包索引，再安装多个软件包，最后清理缓存，一步到位
• 避免写成多个独立 RUN —— 否则中间层会残留无用文件，镜像变大
• 示例（Debian/Ubuntu）：

RUN apt-get update && apt-get install -y \
    curl \
    git \
    build-essential \
    && rm -rf /var/lib/apt/lists/*

用管道和重定向处理动态内容

需要从网络获取配置、校验哈希或生成文件时，别用临时文件中转，直接用管道和重定向提升健壮性：

minimax-mcp-docker版（适配极空间）

MiniMax 图片理解 + 网络搜索 MCP 工具。适配 Docker 环境（极空间等），支持图片 OCR 识别、图像内容理解、网络搜索。API Key 安全存储在本地 credentials 文件，不暴露在代码中。

下载

• 下载并校验 tar 包：用 curl | sha256sum -c - 避免中间落盘
• 写配置文件：用 cat <<EOF here-document 保持格式清晰
• 错误不忽略：加 set -e 或确保每个子命令返回值被检查

RUN set -e && \
  curl -fsSL https://example.com/app.tar.gz | \
    tar -xzf - -C /opt/app && \
  echo "a1b2c3... /opt/app/app.tar.gz" | sha256sum -c -

用 WORKDIR + 相对路径降低出错风险

RUN 中频繁切换目录易出错。推荐显式声明 WORKDIR，后续 RUN 默认在此路径执行：

• 避免 cd /some/path && ./configure && make install 这类脆弱链式调用
• 改用 WORKDIR /src 后，所有命令基于该路径，语义更明确
• 编译类操作建议用 make -C /src install 替代 cd，更安全

WORKDIR /src
RUN ./configure --prefix=/usr/local && make -j$(nproc) && make install

避开 shell 元字符陷阱，必要时改用 exec 格式

当命令含空格、括号、变量或想绕过 shell 解析时，用 JSON 数组格式（exec 格式）更可控：

• exec 格式不经过 shell，因此 $HOME、|、&& 不生效，需显式调用 sh
• 适合固定参数场景，比如只运行一个二进制，无管道逻辑
• 混合使用：复杂逻辑仍用 shell 格式；纯执行可用 exec 格式防注入

RUN ["sh", "-c", "echo 'Hello $1' > /tmp/greeting.txt", "_", "World"]

不复杂但容易忽略：每条 RUN 应有明确目的，合并相关操作，删掉中间产物，用非 root 用户收尾。这样构建快、体积小、权限干净。