用 && 合并 RUN 命令可减少镜像层数、避免缓存残留：✅ 正确写法为单层 RUN apt-get update && apt-get install -y curl jq && rm -rf /var/lib/apt/lists/*；❌ 低效写法是三个独立 RUN，产生三层且每层留垃圾；关键原则是原子性依赖，推荐 set -eux 加固。
直接用 RUN 合并多条命令，本身不涉及 JSON Logic 或编程语言里的 and 操作符——它用的是 Shell 的逻辑与（&&），本质是命令链式执行：前一个成功，才执行下一个。
为什么用 && 而不是多个 RUN
每条独立的 RUN 指令都会生成一层镜像。层数越多，镜像越臃肿、构建越慢、安全扫描越容易报出冗余工具或缓存残留。而用 && 把关联操作串在一条 RUN 里，只产生**单一层**，且中间产物（如临时下载包、编译中间文件）不会被保留在最终镜像中。
- ✅ 正确写法（单层、无残留）：
RUN apt-get update && apt-get install -y curl jq && rm -rf /var/lib/apt/lists/* - ❌ 低效写法（三层、每层都留垃圾）：
RUN apt-get update<br>RUN apt-get install -y curl jq<br>RUN rm -rf /var/lib/apt/lists/*
合并的关键原则
必须确保所有命令是**原子性依赖关系**：后一步依赖前一步的成功结果，否则整条 RUN 失败，构建中断，符合预期。
- 安装依赖后立刻清理缓存（如
apt的/var/lib/apt/lists/或yum的/var/cache/yum） - 下载压缩包 → 解压 → 删除原包 → 清理临时目录，全部串起来
- 构建前端项目时：
npm ci && npm run build && rm -rf node_modules
注意避开的坑
&& 是 Shell 层面的逻辑与，不是 Dockerfile 语法糖。它不处理变量展开异常、命令未找到、权限失败等细节，一旦某步退出码非 0，后续全跳过，但该层仍会提交（除非加 set -e）。
- 推荐加固写法：
RUN set -eux && apt-get update && apt-get install -y ...
其中-e让任意命令失败立即退出，-u拒绝未定义变量，-x显示执行过程 - 不要在
&&链里混用需要交互或可能静默失败的命令（如某些curl不带-f可能返回 0 却没下到文件） - 避免长命令行难以维护：可换行 +
\，Dockerfile 支持续行
对比效果示例
以 Alpine 基础镜像安装 Python 和清理为例：
- 三
RUN写法：镜像增加 3 层，apk缓存残留约 15MB - 单
RUN+&&：RUN apk add --no-cache python3 py3-pip && pip install --no-cache-dir requests
仅 1 层，无缓存，体积减少明显
