在日常开发中，用 Docker 打包应用成了家常便饭。但你有没有遇到过镜像体积大得离谱，拉取慢、上传卡、启动也拖沓？其实问题往往出在镜像构建方式上。掌握一些实用的最佳实践，能让你的镜像更轻、更快、更安全。
选对基础镜像，别图省事用 full 版
很多人一上来就写 FROM ubuntu，看似方便，实则埋雷。完整的操作系统镜像动辄几百MB，而实际运行可能只用到几个命令。换成 Alpine 或者 Debian slim 版本，体积能直接砍掉一大半。
FROM alpine:latest
RUN apk add --no-cache python3
COPY app.py /app/
WORKDIR /app
CMD ["python3", "app.py"]这里用了 --no-cache 参数，避免在安装过程中留下临时包缓存，进一步控制体积。
合理使用 .dockerignore
就像 Git 项目要有 .gitignore，Docker 构建也得有 .dockerignore。不加这个文件，整个目录被打包进构建上下文，不仅慢，还可能把敏感文件塞进去。
# .dockerignore 示例
node_modules
*.log
db.sqlite3
.env
README.md忽略掉不必要的依赖和配置，构建过程清爽多了，也能防止意外泄露密钥之类的信息。
合并 RUN 指令，减少图层膨胀
Docker 镜像是分层的，每条指令都会生成一层。频繁使用 RUN 安装软件，容易造成图层数量过多，影响效率。把能合并的命令串起来，用 \ 换行整理清楚就行。
FROM debian:bullseye-slim
RUN apt-get update \
&& apt-get install -y curl wget gnupg \
&& rm -rf /var/lib/apt/lists/*末尾清理 apt 缓存很重要，不然这些数据会保留在这一层里，白白占空间。
非 root 用户运行更安全
默认容器以 root 身份跑进程，一旦被攻破，风险很高。创建专用用户，切换身份，是简单有效的防护手段。
FROM alpine
RUN addgroup -g 1001 appuser && \
adduser -u 1001 -G appuser -s /bin/sh -D appuser
USER appuser
COPY --chown=1001:1001 myapp /home/appuser/
CMD ["./myapp"]这样即使程序出问题，攻击者也无法轻易获得系统级权限。
多阶段构建：编译和运行分开
写 Go 或 Node.js 项目时，经常需要编译步骤。如果把编译环境和最终运行环境打包在一起，镜像肯定臃肿。多阶段构建就能解决这个问题——前一阶段负责编译，后一阶段只拿结果。
FROM golang:1.21 AS builder
WORKDIR /src
COPY . .
RUN go build -o myapp .
FROM alpine:latest
RUN apk --no-cache add ca-certificates
COPY --from=builder /src/myapp /myapp
CMD ["./myapp"]最终镜像里没有 Go 编译器，也没有源码，干净利落。
给镜像打标签要讲究
别总用 latest。虽然方便，但在生产环境中容易导致版本混乱。推荐用语义化标签，比如 v1.2.0 或 git commit hash，确保每次部署可追溯。
docker build -t myapp:v1.3.0 .配合 CI 流水线自动打标签，上线回滚都更踏实。
定期更新基础镜像
基础镜像不是一劳永逸的。系统漏洞、库过期都可能带来安全隐患。建议每月检查一次 base image 是否有更新，尤其是用了长期支持版（LTS）的更要留意官方公告。
可以结合 Dependabot 或 Renovate 这类工具，让依赖升级变得更自动化。