Trình tạo Dockerfile

Vì sao build đa giai đoạn

Một Dockerfile đơn giản cài toàn bộ bộ công cụ biên dịch vào image cuối. Build đa giai đoạn cho bạn một giai đoạn “builder” để biên dịch và một giai đoạn cuối chỉ chứa sản phẩm đã biên dịch:

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER node
EXPOSE 3000
CMD ["node", "dist/index.js"]

Image cuối loại bỏ mọi dependency phát triển, file mã nguồn và cache build, thường giúp giảm kích thước image 60-80 phần trăm.

Các biến thể image gốc

Các mẫu dùng image slim hoặc alpine khi có thể. Nếu bạn tự điều chỉnh image gốc, các lựa chọn tiêu biểu là:

Quy tắc cache layer

Docker cache từng dòng; khi một layer thay đổi, mọi thứ bên dưới được build lại. Thứ tự từ ít thay đổi đến nhiều thay đổi:

1. Image gốc FROM (hiếm khi đổi).
2. Gói hệ thống (apt-get install), ít thay đổi.
3. Tệp manifest dependency (package.json, requirements.txt, composer.json).
4. Bước cài dependency. Chỉ chạy khi manifest thay đổi.
5. Sao chép mã nguồn. Layer bận nhất; mọi thứ sau nó được build lại ở mỗi commit.
6. Biên dịch và CMD cuối.

Phá vỡ thứ tự này là lý do phổ biến nhất khiến build CI chậm.

Danh sách kiểm tra bảo mật

• Chạy với quyền không phải root. Đặt USER appuser (hoặc USER 1000) gần cuối.
• Ghim phiên bản. python:3.12.7-slim hơn python:3.12, và hơn cả python:latest.
• Đặt WORKDIR tường minh thay vì dựa vào /.
• Dùng COPY chứ không dùng ADD cho file cục bộ; ADD có tác dụng phụ tự giải nén.
• Thêm HEALTHCHECK để bộ điều phối phát hiện tiến trình bị kẹt.
• Dọn cache gói trong cùng dòng RUN: apt-get install ... && rm -rf /var/lib/apt/lists/*.