跨层清理无效是因为Docker层只读，后续层中rm仅标记文件不可见，无法真正删除历史层中的数据；正确做法是将安装、使用、清理合并至单个RUN指令，确保中间产物不落地为独立层。
关键在于把安装、使用、清理三步压缩到同一个 run 指令里，不让中间产物落地成独立层。
为什么跨层清理无效
Docker 每个 RUN 指令都会生成一个新层，即使你在下一层用 rm 删除上一层的文件，那些数据仍保留在历史层中——因为层是只读的，删除只是在新层里“标记不可见”，实际体积没变。
正确写法：所有操作合并进单个 RUN
把依赖安装、临时文件生成、清理动作全写在同一行命令中，确保中间产物不逃逸出当前层：
-
错误示范（三层，残留严重）：
RUN apt-get update<br> RUN apt-get install -y curl<br> RUN rm -rf /var/lib/apt/lists/*
-
正确示范（一层，无残留）：
RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/* - 更稳妥的做法是加
-q和--no-install-recommends减少无关包：RUN apt-get update -q && apt-get install -y --no-install-recommends curl && rm -rf /var/lib/apt/lists/*
对已存在的臃肿镜像补救
如果 Dockerfile 已提交且无法重写，可用 docker-squash 工具压平多层，把分散的安装和清理合并为一层。它不改原始构建逻辑，而是后处理镜像层结构，剔除中间层中最终未被保留的文件。
其他易忽略的临时文件场景
除了包管理缓存，以下操作也需同层清理：
- 编译时生成的
obj/、build/目录：在同一个RUN中make && make install && rm -rf build/ - 下载解压类操作：
wget https://x.tgz && tar -xzf x.tgz && rm x.tgz - Node.js 的
node_modules：若非运行必需，应在安装后立即删（或用多阶段构建隔离）
不复杂但容易忽略。
