多阶段构建 / 缓存优化 / 镜像瘦身 / 安全

FROM ubuntu:22.04          # Layer 1: 基础镜像的层(来自 Registry)
COPY package.json /app/    # Layer 2: 复制依赖清单
RUN apt-get update          # Layer 3: 更新包索引(产生大量缓存文件)⚠️
RUN apt-get install -y gcc  # Layer 4: 安装编译器
COPY src/ /app/src/        # Layer 5: 复制源代码
RUN gcc -o /app/binary ...  # Layer 6: 编译 → 产生中间产物 .o 文件 ⚠️

# 最终镜像 = Layer1~6 的全部叠加
# 即使 Layer 6 编译完了不再需要 gcc 和 .o 文件
# 它们已经写死在 Layer 3,4,6 里了--无法删除!

# ❌ 差:每次改一行源代码,package.json 之后的层缓存全失效
FROM node:18
COPY . /app/              # ← 源码里任何文件变了,这层就失效
RUN npm install           # ← 缓存失效!又要跑一遍 npm install(2 分钟)
CMD ["node", "/app/index.js"]

# ✅ 好:package.json 很少变,npm install 的缓存可以被反复命中
FROM node:18
COPY package*.json /app/  # ← 依赖清单几个月不变,这层缓存长期有效
RUN cd /app && npm install # ← 缓存命中!跳过(省 2 分钟)
COPY src/ /app/src/       # ← 只有源码变了这层才 rebuild
CMD ["node", "/app/index.js"]

# 命名阶段(方便引用)
FROM golang:1.21 AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 go build -o /app/server .

# 第二个阶段,从 builder 阶段拷贝产物
FROM alpine:3.19
COPY --from=builder /app/server /app/server
CMD ["/app/server"]

# 也可以从更早的镜像层拷贝(不限于前一个阶段)
COPY --from=nginx:latest /etc/nginx/nginx.conf /nginx.conf

# 构建阶段:完整的 Go 工具链
FROM golang:1.21-alpine AS builder
WORKDIR /src
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-s -w" -o /server .

# 运行阶段:只需要放二进制的环境
FROM scratch                          ← 完全空白,0MB
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
COPY --from=builder /server /server
USER 65534                            ← nobody 用户
CMD ["/server"]

# 最终镜像 = 你的二进制 + CA 证书,可能只有 5~15MB

# 构建阶段:Node.js + 全部 node_modules
FROM node:18-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci                            ← 比 npm install 更快,更可复现
COPY . .
RUN npm run build                     ← 产出 dist/ 目录

# 运行阶段:只需要 nginx + 静态文件
FROM nginx:alpine
COPY --from=builder /app/dist /usr/share/nginx/html
# nginx 镜像自带 CMD, 不需要再写

# 最终镜像 ≈ nginx:alpine 的 40MB + 你的静态文件
# Node.js + node_modules 完全不进入最终镜像

FROM golang:1.21 AS builder
WORKDIR /src
COPY . .
RUN go build -o /bin/api ./cmd/api
RUN go build -o /bin/worker ./cmd/worker

# 从同一个 builder 产出两个镜像
FROM alpine:3.19 AS api
COPY --from=builder /bin/api /app/api
CMD ["/app/api"]

FROM alpine:3.19 AS worker
COPY --from=builder /bin/worker /app/worker
CMD ["/app/worker"]

# 构建时选择目标:
# docker build --target api -t myapp-api .
# docker build --target worker -t myapp-worker .

# ❌ 默认以 root 运行--最常见的 Dockerfile 安全问题
FROM node:18-alpine
COPY . /app
CMD ["node", "/app/index.js"]       # ← 这个 node 进程是 root

# ✅ 创建专用用户运行
FROM node:18-alpine
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
COPY --chown=appuser:appgroup . /app
USER appuser                        # ← 从这一行开始,所有 RUN/CMD 都不是 root
CMD ["node", "/app/index.js"]

# ❌ 绝对不要这样做!
FROM ubuntu:22.04
COPY .ssh/id_rsa /root/.ssh/        # ← 私钥进入了 Layer 2,永久存在!
RUN ssh -i /root/.ssh/id_rsa git clone private-repo /app
RUN rm /root/.ssh/id_rsa            # ← 这只是加 whiteout,Layer 2 里的私钥还在!

# ✅ 用 BuildKit 的 --mount=type=secret(Docker 18.09+)
# syntax=docker/dockerfile:1
FROM ubuntu:22.04
RUN --mount=type=secret,id=ssh_key \
    ssh -i /run/secrets/ssh_key git clone private-repo /app
# secret 只在 RUN 这一行可用,不会进入任何层

# 构建命令:
# docker build --secret id=ssh_key,src=$HOME/.ssh/id_rsa -t myapp .

# ✅ 或者用多阶段构建:在 builder 阶段做私密操作,最终镜像只有产物

# ❌ latest = "不定时炸弹"
FROM node:latest                    # 今天可能是 18,下个月可能变成 22
RUN apt-get install -y curl         # curl 的版本取决于当前 apt 仓库

# ✅ 精确锁定
FROM node:18.17.1-alpine3.18        # 三方都锁死:Node 版本 + 变体 + Alpine 版本
RUN apt-get update && \
    apt-get install -y curl=7.88.1-10+deb12u5 && \   # 锁定包版本
    rm -rf /var/lib/apt/lists/*