第8章 镜像最佳实践

在第7章学习了如何构建Docker镜像后，本章将深入探讨镜像构建的最佳实践。这些实践不仅能让你的镜像更小、更快、更安全，还能提升开发和部署效率。

8.1 选择合适的基础镜像

8.1.1 官方镜像 vs 社区镜像

# 优先选择官方镜像dockerpull python:3.11# 官方Python镜像dockerpull nginx:latest# 官方Nginx镜像dockerpull node:18# 官方Node.js镜像# 验证官方镜像dockersearch python --filter"is-official=true"

选择标准：

1. 优先级排序

   • 官方镜像（Official Images）
   • 认证镜像（Verified Publisher）
   • 高星标社区镜像（Stars > 100）

2. 安全性考虑

   # 查看镜像的安全扫描报告# Docker Hub上查看 Security > View vulnerabilities

3. 维护活跃度

   • 最近更新时间
   • 版本发布频率
   • 社区活跃度

8.1.2 完整镜像 vs 精简镜像

对比分析：

实例对比：

# Python镜像大小对比dockerpull python:3.11# 1.01GBdockerpull python:3.11-slim# 130MBdockerpull python:3.11-alpine# 51MB# 查看镜像大小dockerimages python# REPOSITORY TAG SIZE# python 3.11 1.01GB# python 3.11-slim 130MB# python 3.11-alpine 51MB

8.1.3 Alpine Linux：极致精简

优点：

• 体积极小（基础镜像仅5MB）
• 安全性高（攻击面小）
• 启动速度快

注意事项：

# Alpine使用musl libc，可能有兼容性问题 FROM python:3.11-alpine # 需要安装编译依赖 RUN apk add --no-cache \ gcc \ musl-dev \ linux-headers # 某些包可能需要额外处理 RUN pip install --no-cache-dir numpy

兼容性问题示例：

# Alpine中可能遇到的问题# 1. glibc依赖问题# 2. 编译依赖缺失# 3. 二进制包不兼容# 解决方案：使用slim版本FROM python:3.11-slim

8.1.4 选择决策流程

是否需要完整工具链？ ├─ 是 → 使用标准版（开发/调试） └─ 否 → 是否有特殊依赖？ ├─ 是 → 使用slim版（生产环境） └─ 否 → 使用alpine版（微服务）

实践建议：

# 开发环境：使用标准版 FROM python:3.11 # 测试环境：使用slim版 FROM python:3.11-slim # 生产环境：根据需求选择 FROM python:3.11-alpine # 简单应用 FROM python:3.11-slim # 复杂依赖

8.2 减小镜像体积

8.2.1 合并RUN指令

❌ 不好的做法（多层）：

FROM ubuntu:22.04 RUN apt-get update RUN apt-get install -y curl RUN apt-get install -y vim RUN apt-get install -y git RUN rm -rf /var/lib/apt/lists/* # 结果：5个额外的层，缓存的中间文件未清理

✅ 好的做法（单层）：

FROM ubuntu:22.04 RUN apt-get update && apt-get install -y \ curl \ vim \ git \ && rm -rf /var/lib/apt/lists/* # 结果：1个层，中间文件已清理

对比效果：

# 不好的做法LAYER1:apt-getupdate(45MB)LAYER2:installcurl(10MB)LAYER3:installvim(15MB)LAYER4:installgit(20MB)LAYER5:rm-rf(0MB, 但前面的垃圾已保存)总计：90MB# 好的做法LAYER1: update +install+ clean(35MB)总计：35MB（节省55MB）

8.2.2 清理不必要的文件

FROM python:3.11-slim WORKDIR /app # 安装依赖并清理 RUN pip install --no-cache-dir \ flask==2.3.0 \ gunicorn==20.1.0 \ && rm -rf ~/.cache/pip # 注意：--no-cache-dir防止缓存，减小镜像体积

常见清理命令：

# Debian/Ubuntu系统 RUN apt-get update && apt-get install -y package \ && rm -rf /var/lib/apt/lists/* # Alpine系统 RUN apk add --no-cache package # Python RUN pip install --no-cache-dir package # Node.js RUN npm install --production && npm cache clean --force # 清理临时文件 RUN rm -rf /tmp/* /var/tmp/*

8.2.3 使用多阶段构建

场景：编译型应用

# ============ 构建阶段 ============ FROM golang:1.21 AS builder WORKDIR /app COPY go.mod go.sum ./ RUN go mod download COPY . . RUN CGO_ENABLED=0 GOOS=linux go build -o myapp # ============ 运行阶段 ============ FROM alpine:3.18 # 只复制二进制文件 COPY --from=builder /app/myapp /usr/local/bin/myapp CMD ["myapp"]

大小对比：

# 单阶段构建FROM golang:1.21...# 镜像大小：1.2GB（包含完整Go工具链）# 多阶段构建FROM alpine:3.18 COPY --from=builder...# 镜像大小：15MB（只包含二进制文件）# 节省：1.185GB（98.75%）

前端应用示例：

# ============ 构建阶段 ============ FROM node:18 AS builder WORKDIR /app COPY package*.json ./ RUN npm ci --only=production COPY . . RUN npm run build # ============ 运行阶段 ============ FROM nginx:alpine # 只复制构建产物 COPY --from=builder /app/dist /usr/share/nginx/html EXPOSE 80 CMD ["nginx", "-g", "daemon off;"]

8.2.4 选择性复制文件

❌ 复制所有内容：

FROM python:3.11-slim WORKDIR /app # 复制所有文件（包括.git、node_modules等） COPY . . RUN pip install -r requirements.txt

✅ 分层复制，利用缓存：

FROM python:3.11-slim WORKDIR /app # 先复制依赖文件 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 再复制源代码 COPY src/ ./src/ CMD ["python", "src/app.py"]

优化原因：

代码修改时： ├─ 依赖未变 → 使用缓存层（快速） └─ 只重建代码层（秒级） 依赖修改时： └─ 重建依赖层和代码层（分钟级）

8.2.5 移除调试工具

开发镜像 vs 生产镜像：

# ============ 开发镜像 ============ FROM python:3.11 RUN apt-get update && apt-get install -y \ vim \ curl \ wget \ net-tools \ tcpdump \ strace COPY . /app WORKDIR /app RUN pip install -r requirements.txt # 镜像大小：1.5GB # ============ 生产镜像 ============ FROM python:3.11-slim WORKDIR /app COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt COPY src/ ./src/ USER nobody CMD ["python", "src/app.py"] # 镜像大小：250MB

8.3 优化镜像层

8.3.1 理解镜像层

# 查看镜像层dockerhistorynginx:alpine# 输出示例：# IMAGE CREATED BY SIZE# f8f4ffc8092c CMD ["nginx" "-g" "daemon off;"] 0B# <missing> STOPSIGNAL SIGQUIT 0B# <missing> EXPOSE map[80/tcp:{}] 0B# <missing> COPY nginx.conf /etc/nginx/nginx.conf 2KB# <missing> RUN apk add --no-cache nginx 10MB# <missing> FROM alpine:3.18 7MB

层的特点：

• 每个Dockerfile指令创建一层
• 层是只读的
• 层可以被多个镜像共享
• 删除文件不会减小前面层的大小

8.3.2 层数优化原则

原则1：合并相关操作

# ❌ 不好：多个RUN指令 RUN apt-get update RUN apt-get install -y python3 RUN apt-get clean # ✅ 好：合并为一个RUN RUN apt-get update \ && apt-get install -y python3 \ && apt-get clean

原则2：不要在不同层删除文件

# ❌ 不好：文件已在前面层保存 RUN wget https://example.com/bigfile.tar.gz RUN tar -xzf bigfile.tar.gz RUN rm bigfile.tar.gz # 这一层不会减小镜像大小 # ✅ 好：在同一层中删除 RUN wget https://example.com/bigfile.tar.gz \ && tar -xzf bigfile.tar.gz \ && rm bigfile.tar.gz

原则3：合理利用缓存

# 依赖变化少的放前面 FROM python:3.11-slim # 1. 系统依赖（很少变化） RUN apt-get update && apt-get install -y \ gcc \ && rm -rf /var/lib/apt/lists/* # 2. Python依赖（偶尔变化） COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt # 3. 源代码（经常变化） COPY . .

8.3.3 实战示例：优化Node.js应用

优化前（600MB，构建慢）：

FROM node:18 WORKDIR /app COPY . . RUN npm install RUN npm run build EXPOSE 3000 CMD ["npm", "start"]

优化后（150MB，构建快）：

# ============ 依赖阶段 ============ FROM node:18-alpine AS deps WORKDIR /app COPY package*.json ./ RUN npm ci --only=production # ============ 构建阶段 ============ FROM node:18-alpine AS builder WORKDIR /app COPY package*.json ./ RUN npm ci COPY . . RUN npm run build # ============ 运行阶段 ============ FROM node:18-alpine AS runner WORKDIR /app # 复制依赖 COPY --from=deps /app/node_modules ./node_modules # 复制构建产物 COPY --from=builder /app/dist ./dist COPY package*.json ./ ENV NODE_ENV=production EXPOSE 3000 USER node CMD ["node", "dist/index.js"]

优化效果：

# 构建时间对比优化前:5分30秒 优化后:2分10秒（首次）30秒（代码改动后）# 镜像大小对比优化前: 600MB 优化后: 150MB# 节省: 75%

8.4 使用 .dockerignore

8.4.1 .dockerignore 的作用

# 查看构建上下文大小dockerbuild --no-cache.# Sending build context to Docker daemon 850.5MB# 添加.dockerignore后# Sending build context to Docker daemon 2.5MB

8.4.2 基本语法

# .dockerignore # 忽略Git相关 .git .gitignore .github # 忽略构建产物 node_modules dist build *.log # 忽略测试文件 **/test **/*.test.js coverage # 忽略文档 README.md docs *.md # 忽略环境配置 .env .env.local .env*.local # 忽略IDE配置 .vscode .idea *.swp *.swo # 但保留特定文件（使用!） !README.md

8.4.3 常见项目模板

Python项目：

# Python __pycache__ *.py[cod] *$py.class *.so .Python env/ venv/ ENV/ *.egg *.egg-info/ dist/ build/ # 测试和覆盖率 .pytest_cache .coverage htmlcov/ .tox/ # Jupyter .ipynb_checkpoints # IDE .vscode .idea # 其他 .git .gitignore README.md docker-compose.yml Dockerfile .dockerignore

Node.js项目：

# 依赖 node_modules npm-debug.log yarn-error.log package-lock.json yarn.lock # 构建 dist build .next out # 测试 coverage .nyc_output # 环境 .env .env.local .env*.local # IDE .vscode .idea # 其他 .git .gitignore README.md *.md Dockerfile .dockerignore docker-compose*.yml

Go项目：

# 二进制 *.exe *.exe~ *.dll *.so *.dylib *.test # 构建 vendor/ bin/ dist/ # 测试 *.out coverage.txt # IDE .vscode .idea # 其他 .git .gitignore README.md Makefile docker-compose.yml Dockerfile .dockerignore

8.4.4 验证 .dockerignore

# 方法1：构建时查看上下文大小dockerbuild --no-cache.# 方法2：使用docker-compose（更详细）docker-composebuild --no-cache --progress=plain# 方法3：手动打包验证tar-czf context.tar.gz.--exclude-from=.dockerignorels-lh context.tar.gz

8.5 安全扫描与漏洞修复

8.5.1 镜像安全扫描

使用Docker Scout（Docker官方工具）：

# 启用Docker Scoutdockerscout quickview# 扫描本地镜像dockerscout cves myapp:latest# 输出示例：# Target: myapp:latest# Platform: linux/amd64## Vulnerabilities: 42 C: 5 H: 12 M: 20 L: 5## Critical: 5# CVE-2023-xxxx High openssl 1.1.1n# CVE-2023-yyyy High curl 7.68.0

使用Trivy（开源扫描工具）：

# 安装Trivycurl-sfL https://raw.githubusercontent.com/aquasecurity/trivy/main/contrib/install.sh|sh-s -- -b /usr/local/bin# 扫描镜像trivy image myapp:latest# 只显示高危和严重漏洞trivy image --severity HIGH,CRITICAL myapp:latest# 导出扫描报告trivy image -f json -o report.json myapp:latest

8.5.2 漏洞修复策略

策略1：更新基础镜像

# ❌ 使用旧版本 FROM python:3.9 # ✅ 使用最新稳定版 FROM python:3.11-slim # 定期重新构建镜像 docker build --no-cache -t myapp:latest .

策略2：更新系统包

FROM ubuntu:22.04 # 更新系统包 RUN apt-get update \ && apt-get upgrade -y \ && apt-get install -y --no-install-recommends \ package1 \ package2 \ && rm -rf /var/lib/apt/lists/*

策略3：更新应用依赖

FROM python:3.11-slim WORKDIR /app # 更新pip RUN pip install --upgrade pip # 使用最新安全版本 COPY requirements.txt . RUN pip install --no-cache-dir -r requirements.txt

8.5.3 安全最佳实践

1. 使用非root用户

FROM python:3.11-slim WORKDIR /app # 创建非root用户 RUN groupadd -r appuser && useradd -r -g appuser appuser COPY --chown=appuser:appuser . . RUN pip install --no-cache-dir -r requirements.txt # 切换到非root用户 USER appuser CMD ["python", "app.py"]

2. 最小权限原则

FROM nginx:alpine # 只复制必要文件 COPY --chown=nginx:nginx nginx.conf /etc/nginx/nginx.conf COPY --chown=nginx:nginx html /usr/share/nginx/html # 使用只读根文件系统 # docker run --read-only -v /tmp:/tmp myapp # 移除不必要的SUID/SGID RUN find / -perm /6000 -type f -exec chmod a-s {} \; 2>/dev/null || true USER nginx

3. 使用HTTPS下载依赖

FROM python:3.11-slim # ✅ 使用HTTPS RUN pip install --index-url https://pypi.org/simple/ package # ❌ 避免HTTP # RUN pip install --index-url http://pypi.org/simple/ package

4. 验证下载的文件

FROM alpine:3.18 # 下载并验证 RUN wget https://example.com/app.tar.gz \ && echo "expected-sha256-hash app.tar.gz" | sha256sum -c - \ && tar -xzf app.tar.gz \ && rm app.tar.gz

8.5.4 持续监控

# CI/CD中集成安全扫描# .gitlab-ci.ymlsecurity_scan: stage:testscript: -dockerbuild -t$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA.- trivy image --exit-code1--severity HIGH,CRITICAL$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA# GitHub Actions# .github/workflows/scan.yml- name: Run Trivy vulnerability scanner uses: aquasecurity/trivy-action@master with: image-ref:'myapp:latest'severity:'HIGH,CRITICAL'

8.6 镜像签名与验证

8.6.1 Docker Content Trust

# 启用内容信任exportDOCKER_CONTENT_TRUST=1# 推送镜像（自动签名）dockerpush myregistry.com/myapp:1.0# 拉取镜像（自动验证）dockerpull myregistry.com/myapp:1.0# 查看镜像签名dockertrust inspect --pretty myregistry.com/myapp:1.0

8.6.2 使用Cosign签名

# 安装Cosigncurl-sL https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64\-o /usr/local/bin/cosignchmod+x /usr/local/bin/cosign# 生成密钥对cosign generate-key-pair# 签名镜像cosign sign --key cosign.key myregistry.com/myapp:1.0# 验证镜像cosign verify --key cosign.pub myregistry.com/myapp:1.0

8.7 实战：优化ROCm应用镜像

8.7.1 优化前的镜像

FROM ubuntu:22.04 # 安装ROCm RUN apt-get update && apt-get install -y wget gnupg RUN wget -q -O - https://repo.radeon.com/rocm/rocm.gpg.key | apt-key add - RUN echo 'deb [arch=amd64] https://repo.radeon.com/rocm/apt/5.7/ ubuntu main' > /etc/apt/sources.list.d/rocm.list RUN apt-get update && apt-get install -y rocm-dkms # 安装应用依赖 COPY . /app WORKDIR /app RUN pip install -r requirements.txt CMD ["python", "app.py"] # 镜像大小：8.5GB

8.7.2 优化后的镜像

# ============ 基础阶段 ============ FROM rocm/dev-ubuntu-22.04:5.7 AS base # ============ 依赖阶段 ============ FROM base AS deps WORKDIR /app # 只复制依赖文件 COPY requirements.txt . # 安装依赖并清理 RUN pip install --no-cache-dir -r requirements.txt \ && rm -rf ~/.cache/pip # ============ 运行阶段 ============ FROM base AS runner WORKDIR /app # 从依赖阶段复制已安装的包 COPY --from=deps /usr/local/lib/python3.10/site-packages /usr/local/lib/python3.10/site-packages # 复制应用代码 COPY src/ ./src/ # 创建非root用户 RUN groupadd -r rocm && useradd -r -g rocm rocm \ && chown -R rocm:rocm /app USER rocm ENV ROCM_PATH=/opt/rocm ENV PATH=$PATH:$ROCM_PATH/bin CMD ["python", "src/app.py"] # 镜像大小：3.2GB（节省62%）

8.7.3 进一步优化建议

# 使用.dockerignore # .dockerignore内容： # .git # tests # docs # *.md # .vscode # 多阶段构建示例 FROM rocm/dev-ubuntu-22.04:5.7 AS builder WORKDIR /build COPY . . RUN make build # 最小运行时镜像 FROM rocm/rocm-runtime:5.7 WORKDIR /app COPY --from=builder /build/bin/app . USER nobody CMD ["./app"] # 最终镜像：1.8GB（节省78%）

8.8 镜像标签管理策略

8.8.1 版本标签规范

# 语义化版本dockertag myapp:latest myapp:1.0.0dockertag myapp:latest myapp:1.0dockertag myapp:latest myapp:1# Git提交标签GIT_COMMIT=$(gitrev-parse --short HEAD)dockertag myapp:latest myapp:git-$GIT_COMMIT# 构建日期BUILD_DATE=$(date+%Y%m%d)dockertag myapp:latest myapp:$BUILD_DATE# 环境标签dockertag myapp:latest myapp:devdockertag myapp:latest myapp:stagingdockertag myapp:1.0.0 myapp:prod

8.8.2 自动化标签脚本

#!/bin/bash# tag-and-push.shIMAGE_NAME="myapp"REGISTRY="myregistry.com"VERSION=$1if[-z"$VERSION"];thenecho"Usage:$0<version>"exit1fi# 提取主版本和次版本MAJOR=$(echo$VERSION|cut-d. -f1)MINOR=$(echo$VERSION|cut-d. -f1-2)# 打标签dockertag$IMAGE_NAME:latest$REGISTRY/$IMAGE_NAME:$VERSIONdockertag$IMAGE_NAME:latest$REGISTRY/$IMAGE_NAME:$MINORdockertag$IMAGE_NAME:latest$REGISTRY/$IMAGE_NAME:$MAJORdockertag$IMAGE_NAME:latest$REGISTRY/$IMAGE_NAME:latest# 推送所有标签dockerpush$REGISTRY/$IMAGE_NAME:$VERSIONdockerpush$REGISTRY/$IMAGE_NAME:$MINORdockerpush$REGISTRY/$IMAGE_NAME:$MAJORdockerpush$REGISTRY/$IMAGE_NAME:latestecho"Tagged and pushed:$VERSION,$MINOR,$MAJOR, latest"

8.9 性能优化技巧

8.9.1 利用BuildKit

# 启用BuildKitexportDOCKER_BUILDKIT=1# 使用BuildKit特性dockerbuild --build-argBUILDKIT_INLINE_CACHE=1-t myapp:latest.# 并行构建多阶段dockerbuild --target production -t myapp:prod.

Dockerfile中使用BuildKit特性：

# syntax=docker/dockerfile:1.4 FROM python:3.11-slim # 使用cache mount加速依赖安装 RUN --mount=type=cache,target=/root/.cache/pip \ pip install -r requirements.txt # 使用secret mount处理敏感信息 RUN --mount=type=secret,id=github_token \ git clone https://$(cat /run/secrets/github_token)@github.com/user/repo.git

8.9.2 并行构建

# 使用--parallel构建多个平台dockerbuildx build --platform linux/amd64,linux/arm64 -t myapp:latest.# 使用--cache-from加速dockerbuild\--cache-from myapp:cache\-t myapp:latest.

8.10 小结

通过本章学习，我们掌握了Docker镜像的最佳实践：

✅基础镜像选择

• 官方 vs 社区镜像
• 完整版 vs 精简版 vs Alpine
• 选择决策流程

✅体积优化

• 合并RUN指令
• 清理不必要文件
• 多阶段构建
• 选择性复制文件

✅层优化

• 理解镜像层机制
• 合并相关操作
• 合理利用缓存

✅使用.dockerignore

• 减小构建上下文
• 常见项目模板
• 验证方法

✅安全实践

• 漏洞扫描
• 安全修复策略
• 非root用户
• 镜像签名

✅实战优化

• ROCm应用镜像优化
• 标签管理策略
• 性能优化技巧

关键要点

下一步

在第9章中，我们将学习容器的生命周期管理：

• 创建和启动容器
• 容器状态管理
• 容器日志查看
• 资源限制
• 容器网络配置

本章思考题：

1. 为什么在同一RUN指令中删除文件可以减小镜像大小，而在后续层删除无效？
2. 多阶段构建适合什么场景？如何判断是否需要使用？
3. Alpine镜像虽然小，但为什么不是所有场景都适用？
4. 如何在镜像体积和调试便利性之间取得平衡？
5. 在CI/CD流程中，如何自动化镜像的安全扫描和优化？

相关资源：

• Docker官方最佳实践：https://docs.docker.com/develop/dev-best-practices/
• Dockerfile最佳实践：https://docs.docker.com/develop/develop-images/dockerfile_best-practices/
• Docker安全指南：https://docs.docker.com/engine/security/
• Trivy安全扫描：https://github.com/aquasecurity/trivy