Docker Plus

增强版 Docker：内置模板、安全加固及生产环境最佳实践。

特性

• Dockerfile 模板：开箱即用的主流语言模板
• 多阶段构建：优化镜像体积
• 安全加固：符合 CIS 基准与行业安全最佳实践
• 生产环境最佳实践：健康检查、日志、监控集成
• 故障排查指南：常见问题及对应解决方案

速查表

Dockerfile 模板

Node.js

# 构建阶段
FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
RUN npm run build

# 生产阶段
FROM node:20-alpine
WORKDIR /app
RUN addgroup -g 1001 -S nodejs && adduser -S nextjs -u 1001
COPY --from=builder --chown=nextjs:nodejs /app/dist ./dist
COPY --from=builder --chown=nextjs:nodejs /app/node_modules ./node_modules
USER nextjs
EXPOSE 3000
CMD ["node", "dist/index.js"]

Python

# 构建阶段
FROM python:3.11-slim AS builder
WORKDIR /app
COPY requirements.txt .
RUN pip install --user --no-cache-dir -r requirements.txt

# 生产阶段
FROM python:3.11-slim
WORKDIR /app
RUN groupadd -r appuser && useradd -r -g appuser appuser
COPY --from=builder /root/.local /root/.local
COPY . .
ENV PATH=/root/.local/bin:$PATH
USER appuser
EXPOSE 8000
CMD ["python", "-m", "uvicorn", "main:app", "--host", "0.0.0.0", "--port", "8000"]

Go

# 构建阶段
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o main .

# 生产阶段
FROM alpine:3.18
RUN apk --no-cache add ca-certificates
WORKDIR /root/
COPY --from=builder /app/main .
CMD ["./main"]

Rust

# 构建阶段
FROM rust:1.72 AS builder
WORKDIR /app
COPY . .
RUN cargo build --release

# 生产阶段
FROM debian:bookworm-slim
RUN apt-get update && apt-get install -y --no-install-recommends ca-certificates && rm -rf /var/lib/apt/lists/*
COPY --from=builder /app/target/release/myapp /usr/local/bin/
CMD ["myapp"]

多阶段构建

优化模式

# 阶段 1：依赖安装
FROM node:20-alpine AS deps
WORKDIR /app
COPY package*.json ./
RUN npm ci

# 阶段 2：构建
FROM node:20-alpine AS builder
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .
RUN npm run build

# 阶段 3：生产运行
FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
CMD ["node", "dist/index.js"]

安全加固

CIS 基准合规性

# 以非 root 用户运行
RUN addgroup -g 1001 -S appgroup && adduser -u 1001 -S appuser -G appgroup
USER appuser

# 文件系统设为只读
RUN chmod -R 555 /app

# 卸载不必要的软件包
RUN apt-get purge -y --auto-remove curl wget

# 设置正确权限
RUN chown -R appuser:appgroup /app

安全最佳实践

# 不在镜像中存储密钥
ARG DB_PASSWORD
ENV DB_PASSWORD=$DB_PASSWORD

# 使用具体版本号（避免使用 latest）
FROM node:20.10.0-alpine3.18

# 扫描漏洞
RUN apk add --no-cache trivy

# 启用健康检查（作为安全扫描的一部分）
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 
  CMD curl -f http://localhost:8080/health || exit 1

Docker Compose 模式

生产环境栈

version: '3.8'

services:
  app:
    build: .
    ports:
      - "8080:8080"
    environment:
      - NODE_ENV=production
      - DATABASE_URL=postgresql://user:pass@db:5432/app
    depends_on:
      db:
        condition: service_healthy
    deploy:
      resources:
        limits:
          cpus: '0.5'
          memory: 512M
    restart: unless-stopped
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:8080/health"]
      interval: 30s
      timeout: 10s
      retries: 3

  db:
    image: postgres:15-alpine
    volumes:
      - postgres_data:/var/lib/postgresql/data
    environment:
      - POSTGRES_DB=app
      - POSTGRES_USER=user
      - POSTGRES_PASSWORD=pass
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U user -d app"]
      interval: 10s
      timeout: 5s
      retries: 5

  redis:
    image: redis:7-alpine
    volumes:
      - redis_data:/data

volumes:
  postgres_data:
  redis_data:

生产环境最佳实践

健康检查

HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 
  CMD curl -f http://localhost:8080/health || exit 1

日志

# 使用 JSON 格式日志
RUN npm install winston

# 输出日志至 stdout/stderr（容器日志标准方式）
CMD ["node", "dist/index.js"]

资源限制

# 运行时设置资源限制
docker run -d 
  --name app 
  --memory="512m" 
  --cpus="0.5" 
  --pids-limit=100 
  -p 8080:8080 
  app:latest

故障排查

常见问题

调试命令

# 查看容器实时日志（最近 100 行）
docker logs -f --tail 100 container_name

# 检查容器详细配置
docker inspect container_name

# 进入容器执行交互式命令
docker exec -it container_name sh

# 查看容器资源使用情况
docker stats container_name

# 查看容器内进程列表
docker top container_name

最佳实践

1. 使用多阶段构建 —— 分离构建环境与运行时环境
2. 以非 root 用户运行 —— 安全强制要求
3. 设置资源限制 —— 防止 OOM 终止
4. 配置健康检查 —— 持续监控容器健康状态
5. 固定基础镜像版本 —— 保障构建可重现性
6. 最小化镜像层数 —— 合并多个 RUN 指令
7. 使用 .dockerignore —— 排除无需构建的文件
8. 日志输出至 stdout/stderr —— 容器日志管理标准实践