3. Dockerfile 最佳实践：多阶段构建、减少镜像层数、安全扫描与基础镜像选择

在 Docker 编排与授权测试场景中，Dockerfile 的质量直接决定镜像的安全性、构建效率与运行时性能。本章围绕四个核心维度展开：多阶段构建、减少镜像层数、安全扫描与基础镜像选择。以下内容将结合实战案例与对比表格，提供可直接落地的规范。

3.1 多阶段构建：分离构建环境与运行环境

多阶段构建允许在同一个 Dockerfile 中使用多个 FROM 指令，每个阶段可以基于不同的基础镜像。最终镜像只复制最后一个阶段所需的产物，从而彻底消除构建工具链、临时文件与依赖缓存。

3.1.1 典型多阶段构建示例

# 阶段1：编译环境
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 go build -o /app/server .

# 阶段2：运行环境
FROM alpine:3.19
RUN apk add --no-cache ca-certificates tzdata
COPY --from=builder /app/server /server
EXPOSE 8080
CMD ["/server"]

上述 Dockerfile 中，golang:1.21-alpine 镜像约 350 MB，而最终 alpine:3.19 镜像仅约 7 MB，加上编译产物后总大小通常不超过 20 MB。

3.1.2 多阶段 vs 单阶段对比

3.2 减少镜像层数：合并指令与清理缓存

Docker 镜像由只读层叠加而成，每一条 RUN、COPY、ADD 指令都会产生一个新层。层数过多不仅增加镜像体积，还会降低分发与启动速度。

3.2.1 层数优化原则

• 合并 RUN 指令： 使用 && 连接多个命令，并在同一条指令中清理缓存。
• 谨慎使用 ADD： 优先使用 COPY，仅在需要自动解压 tar 包或远程 URL 时使用 ADD。
• 按变更频率排序： 将不常变动的指令（如安装系统包）放在前面，利用层缓存加速构建。

3.2.2 优化前后对比

3.3 安全扫描：在构建流水线中嵌入漏洞检测

镜像安全扫描应作为 CI/CD 流水线的强制门禁。推荐工具包括 Trivy、Grype 与 Docker Scout。扫描对象包括基础镜像层、系统包、应用依赖与配置文件。

3.3.1 扫描策略与阈值

3.3.2 集成 Trivy 示例

# 在 Dockerfile 多阶段构建的测试阶段中嵌入扫描
FROM trivy-scanner AS security-check
COPY --from=builder /app/server /server
RUN trivy filesystem --severity CRITICAL,HIGH --exit-code 1 /server

3.4 基础镜像选择：最小化与可信溯源

基础镜像的选择直接影响镜像体积、漏洞数量与合规性。推荐优先级为：Distroless > Alpine > Slim > 标准版。

3.4.1 常见基础镜像对比

3.4.2 选择决策树

• 应用是否依赖 glibc？ 是 → 选择 Slim 或 Distroless (glibc)；否 → 选择 Alpine。
• 是否需要 shell 或调试工具？ 是 → 选择 Alpine 或 Slim；否 → 选择 Distroless。
• 是否通过合规审计？ 是 → 必须使用官方签名镜像 + 固定 digest。

3.5 综合检查清单

在将 Dockerfile 提交到代码仓库前，建议逐项核对以下清单：

• ✅ 是否使用多阶段构建，且最终阶段不包含编译器或包管理器？
• ✅ 是否将 RUN 指令合并到最少，并在同一条指令中清理缓存？
• ✅ 是否按变更频率排序指令（系统包 → 依赖 → 应用代码）？
• ✅ 是否在 CI 中嵌入了 Trivy 或 Grype 扫描，并设置了阻断阈值？
• ✅ 基础镜像是否使用固定 digest（如 alpine@sha256:xxx）而非标签？
• ✅ 是否移除了 sudo、curl、wget 等非必要工具？