Docker 最佳实践与镜像优化

本文介绍 Docker 容器化应用的构建优化技巧，包括镜像优化策略、多阶段构建方法以及容器导出导入操作。

概述

Docker 容器化技术已经成为现代应用部署的标准方式。本文将分享 Docker 镜像构建的最佳实践，帮助开发者创建更小、更安全、更高效的容器镜像。

Dockerfile 最佳实践

1. 使用官方基础镜像

# 推荐：使用官方精简镜像
FROM node:18-alpine

# 避免使用 latest 标签
FROM node:18.17.0-alpine3.18

2. 多阶段构建

多阶段构建可以显著减小最终镜像大小：

# 构建阶段
FROM node:18-alpine AS builder

WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production

COPY . .
RUN npm run build

# 生产阶段
FROM nginx:alpine

# 只复制构建产物
COPY --from=builder /app/dist /usr/share/nginx/html
COPY nginx.conf /etc/nginx/conf.d/default.conf

EXPOSE 80

3. 优化层缓存

# 推荐：将不常更改的指令放在前面
FROM node:18-alpine

WORKDIR /app

# 先复制依赖文件，利用缓存
COPY package*.json ./
RUN npm ci --only=production

# 后复制源码，频繁变更不影响前面的缓存层
COPY . .

CMD ["node", "server.js"]

4. 合并 RUN 指令

# 推荐：合并相关命令减少层数
RUN apt-get update && apt-get install -y \
    curl \
    git \
    vim \
    && rm -rf /var/lib/apt/lists/*

# 避免：每个命令创建一个新层
RUN apt-get update
RUN apt-get install -y curl
RUN apt-get install -y git

5. 清理临时文件

# Node.js 应用示例
FROM node:18-alpine

WORKDIR /app

COPY package*.json ./
RUN npm ci --only=production \
    && npm cache clean --force  # 清理 npm 缓存

COPY . .

# 删除不必要的文件
RUN rm -rf tests/ docs/ *.md

EXPOSE 3000
CMD ["node", "server.js"]

镜像优化技巧

选择合适的基础镜像

Go 应用多阶段构建示例

# 编译阶段
FROM golang:1.21-alpine AS builder

WORKDIR /app

# 安装编译依赖
RUN apk add --no-cache git

# 下载依赖
COPY go.mod go.sum ./
RUN go mod download

# 编译
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o main .

# 运行阶段
FROM scratch

# 从构建阶段复制二进制文件
COPY --from=builder /app/main /app/
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/

EXPOSE 8080
ENTRYPOINT ["/app/main"]

Python 应用优化

FROM python:3.11-slim AS builder

WORKDIR /app

# 安装编译依赖
RUN apt-get update && apt-get install -y --no-install-recommends \
    gcc \
    python3-dev \
    && rm -rf /var/lib/apt/lists/*

# 创建虚拟环境
RUN python -m venv /opt/venv
ENV PATH="/opt/venv/bin:$PATH"

# 安装依赖
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# 生产镜像
FROM python:3.11-slim

WORKDIR /app

# 复制虚拟环境
COPY --from=builder /opt/venv /opt/venv
ENV PATH="/opt/venv/bin:$PATH"

# 复制应用代码
COPY . .

# 创建非 root 用户
RUN useradd -m -u 1000 appuser && chown -R appuser:appuser /app
USER appuser

EXPOSE 8000
CMD ["python", "app.py"]

安全最佳实践

使用非 root 用户

FROM node:18-alpine

# 创建应用用户
RUN addgroup -g 1001 -S nodejs
RUN adduser -S nextjs -u 1001

WORKDIR /app

# 更改文件所有者
COPY --chown=nextjs:nodejs . .

USER nextjs

EXPOSE 3000
CMD ["node", "server.js"]

使用只读文件系统

FROM nginx:alpine

# 将配置和静态文件复制到镜像
COPY nginx.conf /etc/nginx/nginx.conf
COPY html /usr/share/nginx/html

# 使用非 root 用户
USER nginx

# 使用只读根文件系统运行
# docker run --read-only -v /tmp:/tmp nginx

扫描镜像漏洞

# 使用 Docker Scout 扫描
docker scout cves myimage:latest

# 使用 Trivy 扫描
trivy image myimage:latest

# 使用 Snyk 扫描
docker scan myimage:latest

容器导出导入

导出镜像

方法一：docker save（保留历史层）

# 保存镜像为 tar 文件
docker save -o myimage.tar myimage:tag

# 压缩保存
docker save myimage:tag | gzip > myimage.tar.gz

方法二：docker export（不保留历史）

# 导出运行中的容器
docker export -o container.tar container_id

# 或
docker export container_id > container.tar

导入镜像

# 从 tar 文件导入
docker load -i myimage.tar

# 从压缩文件导入
gunzip -c myimage.tar.gz | docker load

# 导入容器为镜像
docker import container.tar newimage:tag

导出导入对比

镜像传输优化

使用镜像仓库

# 标记镜像
docker tag myapp:v1.0 registry.example.com/myapp:v1.0

# 推送镜像
docker push registry.example.com/myapp:v1.0

# 拉取镜像
docker pull registry.example.com/myapp:v1.0

离线传输脚本

#!/bin/bash
# export_images.sh

IMAGES=(
  "nginx:1.24-alpine"
  "redis:7-alpine"
  "postgres:15-alpine"
  "myapp:v1.0"
)

mkdir -p images

for img in "${IMAGES[@]}"; do
    filename=$(echo $img | tr '/' '_' | tr ':' '_')
    echo "Exporting $img..."
    docker save $img | gzip > "images/${filename}.tar.gz"
done

echo "All images exported to images/"

#!/bin/bash
# import_images.sh

for file in images/*.tar.gz; do
    echo "Importing $file..."
    gunzip -c "$file" | docker load
done

echo "All images imported"

构建优化工具

BuildKit

# 启用 BuildKit
export DOCKER_BUILDKIT=1

# 使用构建缓存
docker build \
  --cache-from myapp:cache \
  --build-arg BUILDKIT_INLINE_CACHE=1 \
  -t myapp:latest .

Buildx

# 创建构建器
docker buildx create --name mybuilder --use

# 多平台构建
docker buildx build \
  --platform linux/amd64,linux/arm64 \
  -t myapp:latest \
  --push .

性能监控

分析镜像大小

# 查看镜像历史
docker history myimage:latest

# 使用 dive 工具分析
dive myimage:latest

优化前后对比

总结

本文介绍了 Docker 镜像构建的最佳实践：

1. 多阶段构建：分离构建和运行环境，显著减小镜像体积
2. 层缓存优化：合理安排指令顺序，充分利用构建缓存
3. 安全加固：使用非 root 用户、只读文件系统、漏洞扫描
4. 传输优化：合理使用 save/load 和 export/import
5. 构建工具：使用 BuildKit 和 Buildx 提升构建效率

通过应用这些最佳实践，可以构建出更小、更快、更安全的 Docker 镜像。