UD5工具箱
Docker 核心概念
Dockerfile
Dockerfile 是用于构建 Docker 镜像的文本文件，它包含一组指令，告诉 Docker 如何从基础镜像创建一个新的镜像。每条指令会在镜像中创建一个层，层是 Docker 镜像的只读分层学的基础单元。Dockerfile 的编写质量直接影响镜像的体积、构建速度和安全性。常见的 Dockerfile 指令包括 FROM、RUN、COPY、ADD、CMD、ENTRYPOINT、ENV、ARG、EXPOSE、WORKDIR、USER、HEALTHCHECK 等。
镜像层（Layer）
镜像层是 Docker 镜像的核心构建块。每个 Dockerfile 指令会创建一个新的层，层之间通过 UnionFS 技术叠加。层是只读的，当容器运行时会在顶层添加一个可写层。减少层数可以减小镜像体积、加快构建速度和拉取速度。在编写 Dockerfile 时，应尽量合并相关的指令以减少层数。
FROM
FROM 是 Dockerfile 的第一条指令，定义构建所基于的基础镜像。基础镜像选择对最终镜像的体积和安全性有重大影响。应选择官方提供的精简镜像（如 Alpine、Distroless）而非完整的 Linux 发行版镜像。避免使用 latest 标签，应指定具体版本号以确保构建可重复性。
RUN
RUN 指令在构建时执行命令并将结果保存到新层中。每个 RUN 指令会创建一个新层，因此应尽量合并多个相关命令到单个 RUN 指令中。常见的优化包括：合并 apt-get update 和 apt-get install；在同一 RUN 中完成依赖安装和清理缓存；使用 小写符号连接多个命令。
COPY vs ADD
COPY 和 ADD 都用于将文件复制到镜像中，但功能有所不同。COPY 仅执行简单的文件复制，是推荐的方式。ADD 额外支持自动解压缩归档文件和从 URL 下载文件，但这些功能可能引入意外的安全风险和体积增加。除非确实需要自动解压或下载功能，否则应优先使用 COPY。
CMD vs ENTRYPOINT
CMD 和 ENTRYPOINT 都用于指定容器启动时执行的命令。CMD 提供默认命令，可以被 docker run 参数覆盖；ENTRYPOINT 定义固定的入口点命令，docker run 参数会作为 ENTRYPOINT 的参数传入。常见的模式是使用 ENTRYPOINT 定义主程序，CMD 提供默认参数。
HEALTHCHECK
HEALTHCHECK 指令告诉 Docker 如何检测容器是否健康运行。它定义一个命令，Docker 会定期执行该命令来检查容器状态。如果命令返回状态码 0，则容器健康；否则被标记为不健康。在生产环境中配置 HEALTHCHECK 是最佳实践，它帮助 Docker 和编排工具自动检测应用健康状态。常用的健康检查命令包括 curl localhost、wget 或自定义脚本。
多阶段构建（Multi-stage Build）
多阶段构建是 Dockerfile 的重要优化技术，它允许在同一个 Dockerfile 中使用多个 FROM 指令。构建阶段包含编译器和依赖，运行时阶段仅包含必要的运行时环境。通过从构建阶段复制编译成果到运行时阶段，可以显著减小最终镜像的体积。多阶段构建对于编语言应用（如 Go、Rust、Java）尤其有效。