多阶段构建是Python项目Docker化的标配方案，核心是将依赖安装与服务运行彻底分离，使最终镜像仅包含运行时必需组件，剔除编译器、头文件、缓存、源码及root权限，显著减小体积、提升安全性和构建效率。
多阶段构建是 Python 项目 Docker 化的标配方案，核心就一句话：把安装依赖和运行服务彻底分开，让最终镜像只装“能跑起来”的东西，不带编译器、头文件、缓存、源码甚至 root 权限。
为什么单阶段构建不能上生产
用 FROM python:3.12 然后一路 COPY + RUN pip install 看似简单，但结果往往超 900MB。原因很实在：
- 基础镜像自带完整系统工具（gcc、make、libc-dev），这些只在装包时需要，运行时完全用不上
-
pip install会下载 wheel 缓存、编译中间文件（.o、.so）、__pycache__，全打进镜像 - 默认以 root 运行，一旦应用有漏洞，攻击者直接拿到最高权限
- 每次改一行代码，整个依赖层失效，重新下载所有包，构建慢、浪费带宽
标准两阶段写法（推荐 Debian slim）
不用 Alpine（musl libc 兼容性差，容易编译失败），选 python:3.12-slim —— 体积小（~120MB）、glibc 兼容好、Wheels 直接装。
典型结构：
立即学习“Python免费学习笔记（深入）”；
# 第一阶段：构建依赖
FROM python:3.12-slim AS builder
WORKDIR /build
COPY requirements.txt .
# 安装编译所需系统包（仅此阶段需要）
RUN apt-get update && apt-get install -y --no-install-recommends build-essential && rm -rf /var/lib/apt/lists/*
# 安装 Python 包到指定目录，避免污染全局
RUN pip install --no-cache-dir --target /install -r requirements.txt
<h1>第二阶段：精简运行</h1><p>FROM python:3.12-slim
WORKDIR /app</p><h1>创建非 root 用户</h1><p>RUN useradd --create-home --shell /bin/bash appuser
USER appuser</p><h1>只复制构建好的包，不带源码、不带编译工具</h1><p>COPY --from=builder /install /home/appuser/site-packages
ENV PYTHONPATH=/home/appuser/site-packages
COPY --chown=appuser:appuser . .
EXPOSE 8000
HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \
CMD python -c "import urllib.request; urllib.request.urlopen('<a href="https://www.php.cn/link/1b4ea86404d0b479c4a73e55dfd8b0b7">https://www.php.cn/link/1b4ea86404d0b479c4a73e55dfd8b0b7</a>')"
CMD ["python", "-m", "app.main"]关键细节必须注意
-
依赖文件优先 COPY：先复制
requirements.txt再pip install，这样只要依赖没变，这一层就命中缓存 -
清理要写在同一 RUN 指令里：比如
RUN apt-get update && apt-get install ... && rm -rf /var/lib/apt/lists/*，否则清理动作不会真正删掉空间 -
不要用
--user装包再复制：它把包装进/root/.local，路径深且权限杂；用--target更干净可控 -
.dockerignore必须配：排除__pycache__、.git、tests/、venv/等，减少构建上下文体积
进阶优化点
对 RAG、LangChain 类重依赖项目特别有用：
- 拆分
requirements.txt：把 CPU-only 依赖和 GPU 依赖分开，运行阶段只装前者 - 预编译大包（如
numpy、faiss）：在 builder 阶段用--only-binary=all强制用 wheel，避免现场编译 - 用
pip install --no-deps+ 手动控制依赖顺序：防止自动装下冗余子依赖 - 镜像打完后用
docker scan或 Trivy 扫 CVE，尤其关注libssl、curl等底层组件
