生产环境Dockerfile核心目标是轻、稳、可维护：选官方精确版本基础镜像；用.dockerignore控制上下文；多阶段构建减体积；创建非root用户降风险；ENTRYPOINT+CMD组合确保参数可覆盖与信号正常。
生产环境的 Dockerfile 不是写完能跑就行，核心目标就三个：**轻、稳、可维护**。轻是指镜像体积小、启动快；稳是指行为确定、安全可靠；可维护是指别人（包括未来的你）能快速看懂、改得放心。
选对基础镜像，别自己造轮子
直接用官方语言镜像（比如 node:18-alpine、python:3.11-slim），而不是从 ubuntu 或 centos 开始手动装运行时。官方镜像已做过安全加固、体积优化，并持续更新漏洞补丁。同时必须指定精确版本号，例如 node:18.17.0-alpine 或哈希值 python@sha256:abc...，避免 latest 标签带来的不可预测变更。
控制构建上下文，别把整个项目拖进去
执行 docker build . 时，Docker 会把当前目录下所有未被 .dockerignore 排除的文件打包上传。一个没设忽略规则的项目，可能把 node_modules、.git、日志、临时编译产物全塞进去，导致构建慢、镜像臃肿。建议：
- 为每个服务单独建构建目录，只放必需文件（源码、配置、Dockerfile、.dockerignore）
-
.dockerignore至少包含：.git、*.log、node_modules/、__pycache__/、tmp/ - 避免在 Dockerfile 中用
COPY . .，明确列出要复制的文件或子目录
多阶段构建，分离构建与运行环境
尤其适用于 Go、Rust、Java、Node.js 等需要编译的语言。第一阶段用完整工具链（如 golang:1.22）编译出二进制，第二阶段用极简运行时（如 alpine:3.20 或 scratch）仅复制可执行文件。这样最终镜像不含编译器、源码、开发依赖，体积通常能缩小 70% 以上，攻击面也大幅减少。
安全与权限，别用 root 跑应用
默认容器以 root 用户运行，一旦应用被攻破，风险极高。应在镜像中创建非特权用户并切换：
- 用
RUN addgroup -g 1001 -f app && adduser -S app -u 1001创建用户 - 用
USER app切换到该用户（放在 COPY 和 CMD 之前） - 确保应用监听端口 ≥1024（避免需要 root 绑定 80/443）；如需绑定 80，可用反向代理（如 Nginx）或 Capabilities 授权，而非开 root 权限
CMD 和 ENTRYPOINT 配合用，让容器像命令一样可靠
推荐组合：ENTRYPOINT 固定主程序（如 ["/app/server"]），CMD 提供默认参数（如 ["--port=8080"]）。这样既能保证容器始终运行指定二进制，又支持运行时覆盖参数，例如 docker run myapp --port=9000。避免只用 CMD 启动脚本，否则无法传递额外参数；也避免用 shell 形式 CMD nginx，它会绕过 PID 1 管理，导致信号转发异常。
