写好Dockerfile的核心是设计可复用、易维护、安全可控的分层文件系统快照；每条指令生成一层只读层，缓存从上到下逐条比对，变动少的内容应置于前面以最大化复用，基础镜像需兼顾安全、体积与兼容性，避免latest标签。
写好 dockerfile 不是堆指令，而是设计一层层可复用、易维护、安全可控的文件系统快照。核心不在语法多全，而在理解“每行指令生成一层，缓存从上到下逐条比对”这个机制。
基础镜像与分层构建逻辑
FROM 是起点，不是摆设。选镜像要兼顾安全性、体积和兼容性：Python 项目优先用 python:3.11-slim 而非 latest；Go 服务推荐 golang:1.21-alpine；生产环境避免使用带有 latest 标签的镜像，防止基础层意外升级引发兼容问题。
每一层都是前一层的增量变更。Docker 构建时会逐行执行 FROM、RUN、COPY 等指令，每执行完一条就保存当前文件系统状态为一个只读层。后续构建若某层缓存命中，就直接复用，跳过执行——这是提速的关键。
- 缓存失效是“断点重来”：只要某一行指令内容或其依赖（如 COPY 的文件内容）变了，这一层及之后所有层都会重新构建
- 所以把变动少的放前面（如基础镜像、系统依赖安装），变动频繁的放后面（如应用代码 COPY）
- 用 docker history 镜像名 可直观查看各层大小和创建命令，快速定位臃肿来源
Dockerfile 指令使用要点
不是所有指令都该用，也不是所有写法都合理。关键指令需注意语义和副作用：
- FROM：支持多阶段构建中多次出现，不同阶段可指定不同基础镜像
- RUN：合并多条命令用 && \ 连接，避免产生多余层；清理缓存（如 apt-get clean）必须和安装写在同一 RUN 中，否则上层残留无用文件
- COPY：优先于 ADD；仅复制本地文件，不自动解压、不拉远程 URL；配合 .dockerignore 排除 .git、node_modules 等无关内容
- WORKDIR：显式声明路径，替代大量 RUN cd；路径会自动创建，无需前置 mkdir
- ENV：设置运行时环境变量；敏感信息（如密码）不要硬编码，应通过 docker run -e 或 secrets 注入
- CMD 与 ENTRYPOINT：CMD 是默认参数，可被命令行覆盖；ENTRYPOINT 是固定入口，适合封装运行逻辑（如包装成可执行脚本）
构建优化实战策略
小镜像 ≠ 少写指令，而是减少无效文件、隔离构建与运行环境、精简依赖链：
- 多阶段构建：前端用 node:18 构建，最后只 COPY dist/ 到 nginx:alpine；后端用 golang:1.21 编译二进制，再 COPY 到 scratch 或 alpine 镜像。构建工具和源码不进入最终镜像
- 依赖前置缓存：先 COPY requirements.txt 或 package-lock.json，再 RUN pip install 或 npm ci，确保依赖不变时跳过安装步骤
- 非 root 用户运行：添加 USER 指令（如 USER 1001），避免容器以 root 权限启动，降低安全风险
- 健康检查嵌入：用 HEALTHCHECK 指令定义探针（如 curl -f http://localhost:8000/health || exit 1），让编排系统能主动识别异常容器
构建过程与上下文管理
docker build 不是读取当前目录所有文件，而是把整个构建上下文打包发给 Docker daemon。体积过大不仅拖慢传输，还可能意外触发缓存失效。
- 始终在最小化目录中执行 docker build，例如新建 build/ 目录，只放入 Dockerfile 和必需文件
- 用 .dockerignore 明确排除 .git、__pycache__、*.log、IDE 配置等，效果等同于 gitignore
- 构建参数用 ARG 定义，通过 --build-arg 传入（如 --build-arg BUILD_ENV=prod），实现同一份 Dockerfile 多环境复用
- 构建完成别忘了打标签：docker tag 镜像ID 仓库地址/项目名:v1.2.0，方便推送和追踪版本
