Dockerfile、镜像构建与容器运行

Dockerfile 是镜像的构建说明。好的镜像应当可复现、包含最少依赖、默认以非 root 用户运行，并将配置与数据留在镜像之外。

一个 Python 示例#

1
FROM python:3.14-slim
2

3
ENV PYTHONDONTWRITEBYTECODE=1 \
4
    PYTHONUNBUFFERED=1
5

6
WORKDIR /app
7

8
COPY requirements.txt .
9
RUN python -m pip install --no-cache-dir -r requirements.txt
10

11
COPY . .
12

13
RUN useradd --create-home appuser && chown -R appuser:appuser /app
14
USER appuser
15

16
CMD ["python", "main.py"]

构建：

1
docker build -t example-app:1.0 .

运行：

1
docker run --rm --name example-app example-app:1.0

构建缓存#

Docker 通常按层复用缓存。先复制依赖清单并安装，再复制经常变化的源码，可以减少重复安装：

1
COPY requirements.txt .
2
RUN python -m pip install -r requirements.txt
3
COPY . .

使用 .dockerignore 排除无关内容：

1
.git
2
.venv
3
__pycache__
4
*.pyc
5
.env
6
node_modules

不要把密钥写进 Dockerfile、构建参数或镜像层。即使之后删除文件，它仍可能存在于历史层中。

标签与摘要#

1
docker image ls
2
docker image inspect example-app:1.0
3
docker image history example-app:1.0
4
docker tag example-app:1.0 registry.example.com/team/example-app:1.0

生产部署优先使用不可变版本标签或镜像摘要，不要只依赖会变化的 latest。

运行参数#

1
docker run -d \
2
  --name example-app \
3
  --restart unless-stopped \
4
  -p 8080:8000 \
5
  --env-file .env \
6
  --memory 512m \
7
  --cpus 1.0 \
8
  example-app:1.0

检查：

1
docker logs -f example-app
2
docker stats example-app
3
docker inspect example-app
4
docker exec -it example-app sh

多阶段构建#

编译型应用可以把构建工具留在构建阶段，只复制运行产物：

1
FROM node:24-alpine AS build
2
WORKDIR /app
3
COPY package*.json ./
4
RUN npm ci
5
COPY . .
6
RUN npm run build
7

8
FROM nginx:alpine
9
COPY --from=build /app/dist /usr/share/nginx/html

健康检查#

健康检查用于判断服务是否真正可用，而不只是进程仍然存在：

1
HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
2
  CMD wget -qO- http://127.0.0.1:8000/health || exit 1

健康检查命令必须存在于镜像内，并且不应执行昂贵操作。

镜像优化原则#

使用明确版本的基础镜像。
合并相关安装步骤并清理包管理器缓存。
不安装调试工具到最小生产镜像。
使用非 root 用户。
为依赖和系统包进行漏洞扫描。
构建和运行阶段分离。

开发动态