📘 第14课：构建最佳实践
镜像构建
📐 Dockerfile编写规范
好的Dockerfile让构建可复现、镜像精简、部署安全。这是一份总结性的最佳实践指南。
✅ Dockerfile最佳实践清单
| # | 实践 | 说明 |
|---|
| 1 | 使用多阶段构建 | 分离构建环境和运行环境 |
| 2 | 选择精简基础镜像 | 优先alpine/slim/distroless |
| 3 | 固定镜像版本 | FROM node:20.11.0-alpine3.19 |
| 4 | 优化指令顺序 | 变化少的在前，多的在后 |
| 5 | 合并RUN指令 | 减少层数，同层中安装+清理 |
| 6 | 使用.dockerignore | 排除不需要的文件 |
| 7 | 不存储敏感信息 | 用ARG/ENV+运行时传入 |
| 8 | 使用非root用户 | USER指令指定 |
| 9 | 添加HEALTHCHECK | 让Docker知道应用状态 |
| 10 | 使用COPY而非ADD | 除非需要自动解压 |
| 11 | COPY依赖文件先于源码 | 利用缓存避免重复安装 |
| 12 | 清理包管理器缓存 | rm -rf /var/lib/apt/lists/* |
📋 生产级Dockerfile模板
# Node.js生产级Dockerfile ✅
# syntax=docker/dockerfile:1
# ---- 构建阶段 ----
FROM node:20.11.0-alpine3.19 AS builder
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY . .
RUN npm run build
# ---- 运行阶段 ----
FROM node:20.11.0-alpine3.19 AS runtime
# 安全：创建非root用户
RUN addgroup -g 1001 -S appgroup && \
adduser -u 1001 -S appuser -G appgroup
WORKDIR /app
# 缓存优化：先复制依赖
COPY package.json package-lock.json ./
RUN npm ci --only=production && \
npm cache clean --force
# 从构建阶段复制产物
COPY --from=builder /app/dist ./dist
# 安全：设置所有权和用户
RUN chown -R appuser:appgroup /app
USER appuser
# 环境配置
ENV NODE_ENV=production
ENV PORT=3000
# 健康检查
HEALTHCHECK --interval=30s --timeout=3s --start-period=10s --retries=3 \
CMD wget --no-verbose --tries=1 --spider http://localhost:3000/health || exit 1
EXPOSE 3000
CMD ["node", "dist/server.js"]
🧪 Dockerfile Lint工具
# hadolint：Dockerfile静态检查 ✅
docker run --rm -i hadolint/hadolint < Dockerfile
-:3 DL3006 warning: Always tag the version of an image explicitly
-:5 DL3018 warning: Pin versions in apk add
-:8 SC2086 info: Double quote to prevent globbing
# CI集成 ✅
docker run --rm -i hadolint/hadolint < Dockerfile && echo "Lint passed!"
📊 构建性能优化总结
# 启用BuildKit ✅
export DOCKER_BUILDKIT=1
# 并行构建（多阶段）
# BuildKit自动并行执行无依赖的阶段
# 使用缓存挂载
RUN --mount=type=cache,target=/root/.npm npm ci
# 使用远程缓存
docker buildx build --cache-from type=registry,ref=myapp:cache ...
# 使用.ssh前挂载（私有仓库）
RUN --mount=type=ssh git clone git@github.com:org/repo.git
# 使用.secret前挂载（敏感数据）
RUN --mount=type=secret,id=nrc,target=/root/.npmrc npm ci
📐 镜像构建流水线
# 完整CI/CD构建流程 ✅
# 1. 代码检出
# 2. Lint Dockerfile
docker run --rm -i hadolint/hadolint < Dockerfile
# 3. 构建镜像
docker buildx build \
--cache-from type=registry,ref=$REGISTRY/myapp:cache \
--cache-to type=registry,ref=$REGISTRY/myapp:cache,mode=max \
-t $REGISTRY/myapp:$VERSION \
-t $REGISTRY/myapp:latest \
--push .
# 4. 安全扫描
trivy image --exit-code 1 --severity HIGH,CRITICAL $REGISTRY/myapp:$VERSION
# 5. 推送（已在上面的--push完成）
# 6. 部署
kubectl set image deployment/myapp myapp=$REGISTRY/myapp:$VERSION
❓ 常见问题
🏆 本课成就
- 掌握12条Dockerfile最佳实践 ✅
- 完成生产级Dockerfile模板 ✅
- 学会hadolint静态检查
- 掌握BuildKit高级特性
- 理解CI/CD构建流水线 ✅
- 能够编写规范、安全、高效的Dockerfile
📚 深度补充：构建最佳实践进阶要点
【镜像进阶阶段】生产环境注意事项
| 要点 | 说明 | 最佳实践 |
|---|
| 资源规划 | 根据业务负载合理分配CPU/内存 | 先压测再上线，设置requests和limits |
| 监控告警 | 设置关键指标阈值和告警规则 | Prometheus + AlertManager，5分钟P99延迟告警 |
| 备份策略 | 定期备份关键数据和配置 | 自动化备份脚本 + 异地存储 + 定期恢复演练 |
| 灰度发布 | 新版本逐步放量降低风险 | 金丝雀发布5%→20%→50%→100% |
| 回滚预案 | 部署前确认回滚方案和步骤 | 保留前一版本镜像，数据库迁移向前兼容 |
| 文档更新 | 配置变更必须同步更新文档 | GitOps管理配置，变更即文档 |
| 安全基线 | 遵循CIS Docker Benchmark | 非root运行、只读FS、最小能力 |
| 日志规范 | 结构化日志，统一格式 | JSON格式日志，包含traceId |
常见误区与避坑指南
- 过度配置：不是所有服务都需要高可用，根据实际需求选择架构复杂度，避免过度工程
- 忽略日志：日志是排障的关键，确保日志格式统一、级别合理、采集完整
- 资源超卖：容器资源限制不是摆设，超卖会导致性能下降甚至OOM Kill
- 安全忽视：默认配置不等于安全配置，生产环境必须加固（非root、只读FS、最小能力）
- 监控缺失：没有监控等于盲飞，至少要有基础的健康检查和资源监控
- 手动运维：能自动化的绝不手动，手动操作容易出错且不可追溯
- 忽略网络策略：默认所有容器互通不安全，应按最小权限原则配置网络
进阶阅读与参考
Docker命令速查卡
# 容器生命周期
docker create/start/stop/restart/rm/pause/unpause
docker logs/top/stats/inspect/exec diff
# 镜像构建
docker build/pull/push/tag/rmi/images/history
docker save/load/import/manifest
# 网络与存储
docker network create/ls/inspect/connect/disconnect/rm/prune
docker volume create/ls/inspect/rm/prune
# Docker Compose
docker compose up/down/ps/logs/build/exec
docker compose config/stop/start/scale/top/cp
# 系统维护
docker system df/prune/info
docker builder prune
docker container/prune/image prune
# K8s常用命令
kubectl get/describe/logs/exec/apply/delete
kubectl rollout status/undo/history
kubectl scale/autoscale/set
本阶段知识脉络
镜像进阶阶段知识体系：
核心概念 → 实操演练 → 最佳实践 → 故障排查
每一课都遵循：概念讲解 → 命令实操 → 代码示例 → 常见问题 → 练习巩固
确保学完即能上手，理论实践并重。
镜像层与存储驱动
overlay2 存储驱动
上层（可写） ← 容器运行时修改
┌─────────────────────┐
│ Container Layer │ ← docker diff 可查看变更
├─────────────────────┤
│ Image Layer N │ ← COPY app.py
├─────────────────────┤
│ Image Layer N-1 │ ← RUN pip install
├─────────────────────┤
│ ... │
├─────────────────────┤
│ Image Layer 1 │ ← RUN apt-get install
├─────────────────────┤
│ Base Layer │ ← FROM ubuntu:22.04
└─────────────────────┘
关键特性：
• 每层只存储与下层的差异（CoW - Copy on Write）
• 只读层可被多个容器共享
• 删除文件不会减小镜像大小（只是标记删除）
• 多阶段构建只保留最终阶段的层
OCI标准与镜像规范
| 标准 | 内容 | 作用 |
|---|
| OCI Image Spec | 镜像格式规范 | 镜像可跨运行时使用 |
| OCI Runtime Spec | 容器运行时规范 | runc/crun/kata等兼容 |
| OCI Distribution Spec | 镜像分发规范 | Registry API标准化 |
实战案例：故障排查流程
# Step 1: 检查容器状态
docker ps -a # 查看所有容器
docker inspect <container> # 查看详细配置
# Step 2: 查看日志
docker logs --tail 100 <container> # 最近100行日志
docker logs --since 1h <container> # 最近1小时
# Step 3: 进入容器排查
docker exec -it <container> sh # 进入容器shell
# Step 4: 检查资源
docker stats --no-stream # 资源使用概览
docker system df # 磁盘使用
# Step 5: 网络排查
docker network ls # 网络列表
docker exec <c> ping <target> # 网络连通性
docker exec <c> nslookup <svc> # DNS解析
# Step 6: 检查健康状态
docker inspect --format '{{.State.Health}}' <c>
docker inspect --format '{{.State.ExitCode}}' <c>
docker inspect --format '{{.State.OOMKilled}}' <c>
Dockerfile模板：多语言通用
# 通用最佳实践模板
FROM alpine:3.19 AS builder
# ... 构建步骤 ...
FROM alpine:3.19
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
WORKDIR /app
COPY --from=builder /app/output .
USER appuser
HEALTHCHECK --interval=30s --timeout=3s --retries=3 \
CMD wget -qO- http://localhost:8080/health || exit 1
EXPOSE 8080
CMD ["./app"]
Docker Compose健康检查模板
services:
app:
build: .
healthcheck:
test: ["CMD", "wget", "-qO-", "http://localhost:8080/health"]
interval: 30s
timeout: 5s
retries: 3
start_period: 30s
restart: unless-stopped
deploy:
resources:
limits:
cpus: '1'
memory: 512M