前面了解了Docker的基本概念，今天来认识一下DockerFile。

Dockerfile 是一个文本文件，包含一系列指令来组装 Docker 镜像。每个指令执行一个特定动作，例如安装包、复制文件或定义启动命令。正确使用 Dockerfile 指令对于构建高效容器至关重要。

关键 Dockerfile 指令Dockerfile精华知识点使用最小基础镜像

基础镜像是您的 Docker 镜像的基础。选择轻量级基础镜像可以显著减少最终镜像大小并最小化攻击面。

FROM alpine:latest

优点：体积小、安全性高、下载速度快。

缺点：可能需要额外配置；一些包可能缺失或因使用 musl 而不是 glibc 而表现不同。

FROM scratch
COPY myapp /myapp
CMD ["/myapp"]

减少层数

每个 RUN、COPY 和 ADD 指令都会向您的镜像添加一个新层。合并命令有助于减少层数和整体镜像大小。

低效：

RUN apt-get update
RUN apt-get install -y python
RUN apt-get install -y pip

高效：

RUN apt-get update && apt-get install -y \
    python \
    pip \
 && rm -rf /var/lib/apt/lists/*

优化层缓存

Docker 使用层缓存来加快构建速度。指令的顺序影响缓存效率。

COPY package.json .
RUN npm install
COPY . .

明智地安装依赖

安装包后删除临时文件和缓存以减少镜像大小。

RUN pip install --no-cache-dir -r requirements.txt

谨慎管理密钥

永远不要在您的 Dockerfile 中包含敏感数据（密码、API 密钥）。

优化镜像大小

RUN apt-get update && apt-get install -y --no-install-recommends package \
      && apt-get clean && rm -rf /var/lib/apt/lists/*

RUN apt-get install -y --no-install-recommends package

注意：为了最大化减少镜像大小，请将此安装与清理命令结合在同一个 RUN 语句中，如上所示。

利用 .dockerignore

.dockerignore 文件允许您排除构建上下文中的文件和目录，减少发送到 Docker 守护进程的数据量，并保护敏感信息。

示例 .dockerignore：

.git
node_modules
Dockerfile
.dockerignore

采用多阶段构建

多阶段构建允许您使用中间镜像，并将仅必要的构件复制到最终镜像中。

Go 应用程序的示例：

# 构建阶段
FROM golang:1.16-alpine AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp
# 最终镜像
FROM alpine:latest
WORKDIR /app
COPY --from=builder /app/myapp .
CMD ["./myapp"]

以非根用户运行

为了增强安全性，避免以 root 用户运行应用程序。

RUN adduser -D appuser
USER appuser

扫描漏洞日志和监控案例

下面来看一下Node.js 应用程序的优化 Dockerfile 示例

# 使用基于 Alpine Linux 的官方 Node.js 镜像
FROM node:14-alpine
# 设置工作目录
WORKDIR /app
# 复制包文件并安装依赖
COPY package*.json ./
RUN npm ci --only=production
# 复制其余的应用程序代码
COPY . .
# 创建非根用户并切换到它
RUN addgroup appgroup && adduser -S appuser -G appgroup
USER appuser
# 暴露应用程序端口
EXPOSE 3000
# 定义运行应用程序的命令
CMD ["node", "app.js"]

其他建议

FROM node:14.17.0-alpine

LABEL maintainer="yourname@example.com"

结论

创建高效的 Docker 镜像既是一门艺术，也是一门科学。通过遵循编写 Dockerfile 的最佳实践，您可以显著提高容器的性能、安全性和管理性。不断更新您的知识，了解容器化生态系统中的新工具和方法。记住，优化是一个持续的过程，总有改进的空间。