docker commit比docker build更适合离线Composer Base镜像，因其完全不依赖网络：build即使加--pull=false仍会访问远程registry获取manifest，而commit仅基于本地运行容器快照生成镜像，彻底绕过远程调用，避免“no such host”等离线失败。
docker commit 为什么比 docker build 更适合离线 Composer Base 镜像
因为 docker build 默认启用 BuildKit，即使加了 --pull=false，它仍会尝试访问远程 registry 获取基础镜像的 manifest 和 layer digest——离线环境直接失败。而 docker commit 完全不查网络，只基于本地已运行的容器快照生成新镜像，真正绕过所有远程依赖。
典型失败现象：failed to solve: rpc error: code = Unknown desc = failed to do request: Head "https://registry-1.docker.io/v2/library/php/manifests:8.2-cli": dial tcp: lookup registry-1.docker.io: no such host
- 必须先在有网机器上拉取并运行一个干净的 PHP 基础镜像（如
php:8.2-cli） - 进入容器，手动安装 Composer：
curl -sS https://getcomposer.org/installer | php -- --install-dir=/usr/local/bin --filename=composer - 确认
composer --version可执行，再退出 - 用
docker commit保存为新镜像：docker commit -c 'CMD ["composer"]' <container-id> my-composer-base:8.2</container-id>
如何让离线镜像包含可复用的 vendor 层
直接 docker commit 出来的镜像只有单层，后续项目 composer install 产生的 vendor/ 会覆盖整个镜像层，无法复用。要利用分层优势，得把依赖安装过程“固化”成中间层。
做法是：在构建时，把 composer.json 和 composer.lock 复制进镜像，并在该层执行 composer install --no-dev --prefer-dist；这样 vendor 就成为独立 layer，只要 lock 文件不变，该层可被多个项目共享。
- 关键命令顺序不能错：
COPY composer.* .→RUN composer install --no-dev --prefer-dist→COPY . . - 避免
ADD . .把源码和 lock 文件一起复制，否则每次代码变更都会使 vendor 层失效 - 若离线环境不允许运行
composer install，就改用docker cp把已有 vendor 目录拷入容器后再commit
离线分发时 base 镜像体积与复用性的平衡点
一个装好 Composer、PHP 扩展、ca-certificates 的 base 镜像可能达 300MB+，但若拆得太细（比如单独抽一层 OpenSSL、一层 cURL），反而增加管理成本和加载开销。实际推荐三段式分层：
-
底层：纯 OS + PHP CLI（如
php:8.2-cli-slim），约 60MB，由docker save导出为php-base.tar -
中层：加 Composer + 常用扩展（pdo_mysql, zip, gd），导出为
composer-runtime.tar -
顶层：项目专属 vendor（按 lock 文件生成），每个项目一个 tar，
docker load后docker tag绑定到项目名
这样既避免重复传输 base，又能让不同项目共用 runtime 层，同时 vendor 层可按需更新而不影响其他项目。
docker load 后如何验证 Composer 镜像是否真正可用
别只跑 docker run --rm my-composer-base:8.2 composer --version 就算完。离线环境最常踩的坑是证书或 DNS 缓存残留导致 composer install 在首次运行时仍尝试连外网。
- 启动容器后，先检查
/etc/ssl/certs/ca-certificates.crt是否存在且非空 - 运行
composer config -g repos.packagist，确认输出是{"type": "composer", "url": "http://intranet-mirror/"}而不是默认值 - 临时挂载一个最小
composer.json，执行composer install --dry-run，观察是否卡在 “Loading repository” 或报 404 - 如果失败，大概率是镜像里没预置内网源配置，得重新
docker commit加上composer config -g repos.packagist ...这一步
真正可靠的离线镜像，应该做到：不碰网络、不改配置、不删文件，docker run 后立刻能 composer install 成功——这要求所有依赖（包括源配置、证书、二进制）都固化在镜像层里，而不是靠启动时动态注入。
