Dockerfile 编写是容器化应用的基础，它直接决定了镜像的体积、构建速度和安全性。很多开发者虽然能用 Dockerfile 构建出可运行的镜像，但往往在层缓存、权限、基础镜像选择等方面踩坑。本文将从判断路径出发，先给出核心原则，再展开具体细节，帮助你避开常见误区。
核心原则：小、快、安全
编写 Dockerfile 时，始终围绕三个目标：镜像小、构建快、运行安全。小镜像减少存储和传输成本；快构建提升开发迭代效率；安全则避免漏洞和不必要的风险。这三个目标贯穿所有最佳实践。
基础镜像选择：小而精
基础镜像是 Dockerfile 的起点。选择官方镜像，并优先使用 alpine 或 slim 变体，可以显著减小镜像体积。例如，node:alpine 比 node:latest 小很多。但要注意，alpine 使用 musl libc，可能与某些二进制不兼容，需要测试确认。另外，固定镜像版本（如 node:20-alpine）而不是使用 latest，以确保可重复构建。
指令顺序与层缓存
Docker 构建时，每条指令都会生成一个层，并尝试复用缓存。为了最大化缓存命中，应将变化频率低的指令放在前面，变化频繁的放在后面。例如，先复制 package.json 并运行 npm install，再复制源代码，这样只有 package.json 变化时才重新安装依赖，否则直接使用缓存。此外，合并 RUN 指令可以减少层数，但过度合并会降低缓存效率，需权衡。
多阶段构建：分离构建与运行
多阶段构建是减小镜像体积的利器。它允许在一个 Dockerfile 中使用多个 FROM，每个阶段使用不同的基础镜像，最终只将必要的文件复制到最终阶段。例如，构建 Go 应用时，第一阶段使用 golang 镜像编译，第二阶段使用 scratch 或 alpine 运行。这样最终镜像不包含编译器和依赖，体积大幅缩减。多阶段构建也提高了安全性，因为运行环境不包含源代码和构建工具。
权限与安全：非 root 用户
默认情况下，容器以 root 用户运行，这增加了安全风险。最佳实践是创建一个非 root 用户，并在 Dockerfile 中切换。例如：
RUN useradd -m appuser
USER appuser
这样即使容器被攻破，攻击者也没有 root 权限。另外，避免在镜像中存储敏感信息，如密码、密钥，应使用 Docker 的 secret 管理或环境变量注入。
常见误区与避免方法
误区一：使用最新标签
使用 latest 标签会导致构建不可复现，因为基础镜像会随时更新。应始终指定具体版本标签，并定期更新以获取安全补丁。
误区二：忽略 .dockerignore
没有 .dockerignore 文件，构建上下文会包含所有文件，包括 .git、node_modules 等，导致构建上下文巨大，构建缓慢。应添加 .dockerignore 排除无关文件，只保留构建所需的内容。
误区三：在容器内运行多个进程
容器设计为单进程模型，但有时开发者会将 SSH、多个服务打包进一个容器。这违背了容器的隔离理念，增加了管理复杂度。应使用多容器或 Kubernetes 等编排工具来管理多个服务。
误区四：忽略日志输出
容器日志应输出到 stdout/stderr，而不是文件。Docker 会收集这些输出，便于日志管理。如果应用写日志到文件，需要额外配置日志驱动，增加复杂度。
健康检查与可观测性
为容器添加 HEALTHCHECK 指令，可以让 Docker 或编排系统知道应用是否健康。例如：
HEALTHCHECK CMD curl --fail http://localhost/ || exit 1
此外，集成 OpenTelemetry 等可观测性框架，可以收集指标、日志和链路追踪，有助于监控容器运行状态。OpenTelemetry 是厂商中立的开源框架，支持多种语言和库，能帮助开发者统一遥测数据。
与容器编排的结合
Dockerfile 构建的镜像最终会运行在容器环境中，无论是单机 Docker 还是 Kubernetes 集群。理解 Kubernetes 的概念，如 Pod、Service、Volume，有助于设计更合适的镜像。例如，Pod 是最小的部署单元，一个 Pod 可以包含多个容器，因此我们可以在一个 Pod 中运行一个主容器和辅助容器（如 sidecar），而不是将所有功能塞进一个镜像。
参考资料
延伸阅读