Docker镜像中COPY目录结构规划本质是围绕构建效率、权限安全、路径清晰、缓存复用四大目标设计：需严格限定在构建上下文内，按变更频率分层复制（先依赖文件后源码），目标路径应语义清晰并配合WORKDIR统一管理，推荐使用--chown固化权限以提升安全性与稳定性。
明确构建上下文边界
COPY 只能访问 Docker 构建上下文（默认是 Dockerfile 所在目录及其子目录）。所有要复制的文件或目录，必须落在这个范围内。
- 不要在 Dockerfile 中写类似
COPY ../src/ /app/src/—— 上级目录默认不在上下文中，会报错 - 推荐做法：把 Dockerfile 放在项目根目录，让
src/、package.json、requirements.txt等都在它同级或子级 - 如需排除某些文件（如
.git、node_modules），用.dockerignore文件控制，避免无效传输
按变更频率分层 COPY
这是提升构建速度最关键的实践。Docker 缓存从上到下逐层检查，一旦某层失效，其后所有层都重建。
- 先 COPY 不常变的依赖描述文件（如
package.json、pyproject.toml、go.mod） - 紧接着 RUN 安装依赖（此时可复用缓存，哪怕源码变了也不重装）
- 最后 COPY 源码（
COPY src/ ./src/或COPY . .）
错误示例：COPY . . 一次性复制全部，只要任意文件改，整个层失效，每次都要重新 npm install。
目标路径要语义清晰 + 符合惯例
目标路径不只是“放哪儿”，它影响运行时行为、权限设置和维护可读性。
- 用
WORKDIR /app统一工作目录，后续COPY的相对路径就基于它，减少绝对路径出错 - 区分用途：配置文件放
/etc/myapp/，静态资源放/usr/share/myapp/static/，应用代码放/app/src或/opt/app - 复制目录时，注意末尾斜杠：
COPY src/ /app/src/表示把src里所有内容放进/app/src/；而COPY src /app/src会把整个src目录（含名字）复制过去
权限与归属提前固化（推荐用 --chown）
避免容器启动后因权限问题失败，也省去额外 RUN chown 层。
- 创建非 root 用户后，直接用
COPY --chown=appuser:appgroup src/ /app/src/ - 用户和组可用名称（如
www-data）或 UID/GID（如1001:1001），后者更跨平台稳定 - 注意：--chown 仅对 Linux 镜像生效，Windows 容器不支持
