Docker镜像压缩需从源头优化：选轻量基础镜像（如alpine或distroless）、用多阶段构建分离编译与运行环境、合并RUN指令避免层内冗余、通过.dockerignore排除无关文件，导出时高压缩仅影响tar包。
Docker 镜像压缩率提升，核心不是“打包时压一压”就完事，而是从构建源头控制体积、减少冗余层、精简运行时依赖。真正有效的压缩，是让镜像本身变小，而不是靠导出时加个 gzip 就算数。
选对基础镜像，直接砍掉一半体积
基础镜像占最终体积的比重往往超过 60%。用 ubuntu:latest（约 70MB）或 node:16（约 900MB）起步，等于背了个包袱开工。换成更轻量的选择：
-
alpine:3.20（5MB 左右），适合 Go/Python/Node 等静态或轻依赖服务 -
debian:bookworm-slim（80MB），兼容性更好，比 full 版本少装 300+ 个非必要包 -
gcr.io/distroless/python3或nodejs（<20MB），不含 shell、包管理器、调试工具，只留 runtime 和证书
注意：Distroless 镜像无法
docker exec -it进去调试，但生产环境更安全、更小。
多阶段构建，把编译环境和运行环境彻底分开
很多镜像臃肿，是因为把 npm install、go build、pip install 全塞进最终镜像里。多阶段构建能只保留二进制文件和最小依赖：
# 构建阶段：完整工具链 FROM node:16-alpine as builder WORKDIR /app COPY package*.json . RUN npm ci --only=production COPY . . RUN npm run build # 运行阶段：仅复制产物 FROM alpine:3.20 RUN apk add --no-cache ca-certificates WORKDIR /app COPY --from=builder /app/dist ./dist COPY --from=builder /app/node_modules ./node_modules CMD ["node", "dist/index.js"]
这样可避免把 node_modules/.bin 下几十个 dev 工具、源码、测试文件全带上。
合并 RUN 指令，避免层内“写再删”的假清理
Docker 每条 RUN 指令生成一层，且层不可变。下面这种写法看似清了缓存，实则体积没减：
RUN apt-get update && apt-get install -y curl RUN apt-get remove -y curl && apt-get clean
第二层只是让 curl 在文件系统里“不可见”，但第一层的安装数据还在。正确做法是：
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
RUN apt-get update && apt-get install -y curl && apt-get clean && rm -rf /var/lib/apt/lists/*
所有操作合并在一层，中间产物不落盘。
用 .dockerignore 排除构建上下文里的“隐形膨胀源”docker build 默认把当前目录整个打成上下文发给 daemon。如果项目里有 node_modules/、.git/、dist/、大型日志或数据文件，哪怕 Dockerfile 没 COPY 它们，也会拖慢构建、浪费带宽，甚至触发缓存失效。
在 .dockerignore 中明确排除：
.git node_modules *.log *.zip *.tar.gz README.md .dockerignore
导出时启用高压缩算法（仅影响 tar 包，不影响镜像运行时）
如果你需要分发 .tar 镜像包（比如离线部署），Buildx 支持 compress=zstd，比 gzip 压缩率高 20–30%，解压更快：
docker buildx build \ --platform linux/amd64,linux/arm64 \ --output type=tar,dest=app.tar.zst,compress=zstd \ .
注意：这只是导出格式压缩，镜像加载后仍是原始大小；它不替代上面四步的体积优化。
不复杂但容易忽略
