Dockerfile需锁定Python小版本、先COPY requirements.txt再pip install、用非root用户、CMD用exec形式确保PID 1。例如：FROM python:3.11.7-slim-bookworm，WORKDIR /app，COPY requirements.txt .，RUN pip install --no-cache-dir -r requirements.txt，USER appuser，EXPOSE 8000，CMD ["gunicorn", "app:app"]。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
你需要为项目快速生成一份可直接构建的 Dockerfile，而不是手动拼凑指令、反复试错或从零写起。
用 AI 生成基础 Dockerfile 的三步法
第一步：明确运行环境和主程序入口。比如你的项目是 Python Web 应用，依赖 requirements.txt，启动命令是 gunicorn app:app —— 这些信息必须提前确认，否则 AI 会默认用 python main.py，导致构建后容器无法启动。
第二步：向 AI 提供最小但完整的上下文。输入类似：“请生成一个用于生产环境的 Dockerfile，基于 python:3.11-slim-bookworm，工作目录 /app，复制 requirements.txt 和源码，安装依赖，暴露 8000 端口，以非 root 用户运行，CMD 启动 gunicorn app:app”。【不要只说“帮我写个 Python 的 Dockerfile”】
第三步：拿到结果后立刻验证关键层顺序。检查是否满足“先 COPY requirements.txt → RUN pip install → 再 COPY .”，否则每次改代码都会触发重装全部依赖，构建极慢。
避免 AI 生成“看似正确实则失效”的 Dockerfile
方法一：强制要求使用多阶段构建。在提示词中加入“请用多阶段构建：构建阶段安装依赖并编译，最终阶段仅复制可执行文件和 runtime，基础镜像用 python:3.11-slim-bookworm”。这样生成的镜像体积更小、攻击面更窄，且不会把 pip cache 或 node_modules 打包进去。
方法二：指定禁止行为。例如追加一句：“禁止使用 ADD 指令；禁止在 WORKDIR 之前使用 COPY；禁止省略 EXPOSE；禁止使用 latest 标签”。Docker 官方明确不推荐 ADD 和 latest，AI 却常默认使用。
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
方法三：要求输出带注释的版本。加上“每条指令后用 # 说明作用，尤其是 RUN 命令要标注为什么加 --no-cache-dir、为什么用 -y”。这能帮你快速识别是否套用了过时模板（比如还在用 apt-get clean && rm -rf /var/lib/apt/lists/* 而不是用 slim 镜像）。
人工校验 Dockerfile 的四个必查点
① FROM 行是否带精确标签。若 AI 输出 FROM python:3 或 FROM node，必须手动改为 FROM python:3.11-slim-bookworm 或 FROM node:20-alpine —— 【latest 标签会导致不同时间构建出不同镜像，彻底破坏可重现性】。
② 是否存在未声明的环境变量。比如应用读取 DB_HOST，但 Dockerfile 里没写 ENV DB_HOST=localhost，也不能指望 docker run 时传入，因为构建期就该确定的值必须写死或用 ARG。
③ COPY 指令路径是否越界。AI 有时会写 COPY .. . 或 COPY /src ./，这在构建上下文外会报错。实际只能复制当前目录及子目录下的文件。
④ CMD 是否被 ENTRYPOINT 覆盖。如果 AI 同时写了 ENTRYPOINT ["sh", "-c"] 和 CMD ["python app.py"]，那最终执行的是 sh -c python app.py，可能因 shell 解析失败而静默退出——这种情况要删掉 ENTRYPOINT，只留 CMD。
