Docker镜像复制中保护源码的核心是通过多阶段构建隔离源码、.dockerignore过滤敏感文件、COPY--chown限制权限及路径设计避免覆盖。关键点：源码仅存在于构建阶段，最终镜像不包含.py等源文件；使用精简运行镜像，所有文件放入/app等专属路径；必要时结合只读文件系统与非root用户加固。
Docker 镜像复制过程中保护源码，核心是不让源码进入最终运行镜像，同时确保运行时所需文件权限合理、路径安全。这不是靠“隐藏”或“加密”，而是通过构建流程设计和指令规范来实现。
多阶段构建：源头隔离源码
这是最有效、最通用的源码保护手段。把编译/打包和运行彻底分开，中间产物只保留必要文件，源码不落地到最终镜像。
- 构建阶段用完整开发环境（如
python:3.11,node:18,golang:1.22），安装依赖、复制源码、执行构建命令 - 运行阶段用精简基础镜像（如
python:3.11-slim,alpine,distroless），只COPY --from=builder需要的文件
例如 Python 应用：
# 构建阶段 FROM python:3.11-slim-bookworm AS builder WORKDIR /build COPY requirements.txt . RUN pip install --no-cache-dir --prefix=/install -r requirements.txt COPY . . # 假设打包成可执行目录或 wheel RUN pip install --no-cache-dir --prefix=/install . # 运行阶段 FROM python:3.11-slim-bookworm WORKDIR /app COPY --from=builder /install /usr/local # 只复制已安装的包和可执行脚本，不复制 .py 源文件 COPY --from=builder /build/dist/myapp /app/ CMD ["python", "/app/main.py"]
关键点：.py 文件没被 COPY 到最终镜像；/build 目录在构建阶段后即丢弃。
用 .dockerignore 过滤敏感内容
它不是“阻止 COPY”，而是提前排除不该进镜像的文件，避免误操作引入源码或密钥。
- 必须包含：
.git,__pycache__,*.pyc,node_modules,.env,secrets.*,tests/,docs/,README.md（除非明确需要） - 不要写
/src或/app这类可能覆盖整个目录的规则，除非你确认这些路径下没有敏感内容 - 注意：
.dockerignore对显式COPY ./config/nginx.conf /etc/nginx.conf无效，只影响COPY . /app这类通配复制
COPY --chown 不是防泄露，但能防权限引发的间接暴露
它本身不隐藏代码，但配合用户隔离可降低风险：
- 创建专用非 root 用户（如
appuser） - 用
COPY --chown=appuser:appuser src/ /app/src/复制（仅限构建阶段） - 最终镜像中若意外残留源码，也因归属非 root、无执行权限、无 shell 访问而难以利用
⚠️ 注意：不要在运行阶段 COPY --chown 源码目录——这违背多阶段原则，等于主动把代码放进去。
路径设计：避开系统关键路径，杜绝覆盖式复制
COPY 默认覆盖目标路径，错误路径会导致系统文件被删或污染：
- ❌ 错误：
COPY ./conf /etc/→ 可能覆盖/etc/passwd - ✅ 正确：
COPY ./conf/app.conf /etc/app.conf（单文件精确复制） - 更推荐：全部放入
/app、/srv/myapp等应用专属路径，与系统目录完全隔离
少数必须带源码的场景：限制访问+运行时剥离
比如某些 Python 应用依赖 .py 动态加载（非编译部署），又无法重构：
- 构建时用
--chown设为只读归属（如COPY --chown=appuser:appuser *.py /app/ && chmod 444 /app/*.py） - 运行用户设为
appuser，禁用root权限，防止修改或导出 - 配合容器只读根文件系统（
--read-only）和临时挂载（--tmpfs /tmp）进一步加固
不复杂但容易忽略。
