# Python
python:3.11          # ~900MB（完整版）
python:3.11-slim     # ~180MB（推薦，glibc 兼容）
python:3.11-alpine   # ~40MB（需注意 musl libc 兼容性）

# Node.js
node:18              # ~900MB（完整版）
node:18-slim         # ~180MB（推薦）
node:18-alpine       # ~50MB

# Java
openjdk:17-jdk        # ~300MB（完整 JDK）
eclipse-temurin:17-jre # ~180MB（僅 JRE）
amazoncorretto:17-alpine # ~180MB（輕量版）

# 階段 1：構(gòu)建階段
FROM 完整鏡像 AS builder
... 編譯/打包 ...

# 階段 2：運(yùn)行階段
FROM 精簡鏡像
COPY --from=builder /app/構(gòu)建產(chǎn)物 ./

# 構(gòu)建階段
FROM golang:1.21-alpine AS builder
WORKDIR /app

# 設(shè)置 Go 模塊代理（加速依賴下載）
ENV GOPROXY=https://goproxy.cn,direct

# 復(fù)制依賴文件（利用 Docker 層緩存）
COPY go.mod go.sum ./
RUN go mod download

# 復(fù)制源代碼并編譯
COPY . .
# 靜態(tài)編譯：CGO_ENABLED=0 表示不依賴 C 庫
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-w -s" -o myapp .

# 運(yùn)行階段：使用極簡鏡像
FROM alpine:3.19

# 安裝時區(qū)數(shù)據(jù)（很多應(yīng)用需要）
RUN apk --no-cache add tzdata

WORKDIR /app

# 僅復(fù)制二進(jìn)制文件
COPY --from=builder /app/myapp .

EXPOSE 8080
CMD ["./myapp"]

# 構(gòu)建階段
FROM node:18-alpine AS builder
WORKDIR /app

# 先復(fù)制依賴文件（變化頻率低，優(yōu)先利用緩存）
COPY package*.json ./
RUN npm ci

# 復(fù)制源代碼
COPY . .
RUN npm run build

# 運(yùn)行階段：僅使用 Nginx
FROM nginx:alpine

# 復(fù)制自定義 Nginx 配置
COPY nginx.conf /etc/nginx/conf.d/default.conf

# 復(fù)制前端構(gòu)建產(chǎn)物
COPY --from=builder /app/dist /usr/share/nginx/html

EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

RUN apt-get update
RUN apt-get install -y nginx
RUN apt-get install -y curl
RUN apt-get clean

RUN apt-get update && \
    apt-get install -y --no-install-recommends nginx curl && \
    apt-get clean && \
    rm -rf /var/lib/apt/lists/*

# 方式 1：使用 --no-cache
RUN apk add --no-cache nginx

# 方式 2：標(biāo)記并刪除構(gòu)建依賴
RUN apk add --virtual .build-deps gcc musl-dev && \
    pip install -r requirements.txt && \
    apk del .build-deps

# 錯誤寫法：清理操作在新的層，之前層的數(shù)據(jù)仍會殘留
RUN apt-get update && apt-get install -y nginx
RUN rm -rf /var/lib/apt/lists/*

# 正確寫法：安裝和清理在同一層
RUN apt-get update && \
    apt-get install -y nginx && \
    rm -rf /var/lib/apt/lists/*

# 版本控制
.git
.gitignore
.svn

# 依賴目錄（不應(yīng)打入鏡像）
node_modules/
__pycache__/
*.pyc
venv/
.venv/
env/

# 日志和臨時文件
*.log
logs/
*.tmp
*.swp
*~
.DS_Store

# IDE 配置
.idea/
.vscode/
*.sublime-*
.project
.settings/

# 測試文件
test/
tests/
coverage/
*.test.js
*_test.go

# 文檔
README.md
docs/
*.md

# 環(huán)境配置文件（敏感信息）
.env
.env.*
!.env.example

# 構(gòu)建產(chǎn)物（重新構(gòu)建即可）
dist/
build/
target/
*.o
*.class

# Docker 相關(guān)文件（防止遞歸）
Dockerfile
docker-compose.yml
.dockerignore

# 好的順序：先復(fù)制依賴文件
COPY package.json package-lock.json ./
RUN npm ci

# 后復(fù)制代碼（變化頻繁）
COPY src/ ./src/

# 壞的順序：每次代碼變更都會導(dǎo)致依賴重新安裝
COPY . .
RUN npm ci

# 指定性復(fù)制（推薦）
COPY --from=builder /app/myapp .
COPY --from=builder /app/config.json .

# 全量復(fù)制（不推薦）
COPY --from=builder /app/ .

FROM python:3.11
WORKDIR /app
COPY requirements.txt .
RUN pip install -r requirements.txt
COPY . .
CMD ["python", "app.py"]

# 構(gòu)建階段
FROM python:3.11-slim AS builder
WORKDIR /app

# 安裝編譯工具（Alpine 風(fēng)格，但使用 Debian slim）
RUN apt-get update && \
    apt-get install -y --no-install-recommends \
        gcc \
        musl-dev \
    && rm -rf /var/lib/apt/lists/*

COPY requirements.txt .
# 生成優(yōu)化的 wheel 包
RUN pip install --no-cache-dir --wheel-dir=/wheels -r requirements.txt

# 運(yùn)行階段
FROM python:3.11-slim
WORKDIR /app

# 僅安裝 wheel 包，不包含 pip 緩存
COPY --from=builder /wheels /wheels
RUN pip install --no-cache-dir --prefix=/app /wheels/*.whl

# 清理 Python 緩存
RUN find /app -type d -name __pycache__ -exec rm -rf {} + || true

COPY app.py .
CMD ["python", "app.py"]

FROM node:18
WORKDIR /app
COPY package*.json ./
RUN npm install
COPY . .
CMD ["node", "server.js"]

# 構(gòu)建階段
FROM node:18-alpine AS builder
WORKDIR /app

# 先復(fù)制依賴定義文件
COPY package*.json ./

# 僅安裝生產(chǎn)依賴
RUN npm ci --only=production

# 復(fù)制源代碼
COPY src/ ./src/

# 運(yùn)行階段
FROM node:18-alpine
WORKDIR /app

# 使用非 root 用戶運(yùn)行
RUN addgroup -g 1001 -S nodejs && adduser -S nodeuser -u 1001

# 僅復(fù)制生產(chǎn)依賴和代碼
COPY --from=builder --chown=nodeuser:nodejs /app/node_modules ./node_modules
COPY --chown=nodeuser:nodejs src/ ./src/

USER nodeuser
EXPOSE 3000
CMD ["node", "src/server.js"]

# 構(gòu)建階段
FROM maven:3.9-eclipse-temurin-17 AS builder
WORKDIR /app
COPY pom.xml .
RUN mvn dependency:go-offline -B

COPY src ./src
RUN mvn package -DskipTests

# 運(yùn)行階段：使用 JRE 鏡像
FROM eclipse-temurin:17-jre

WORKDIR /app

# 創(chuàng)建非 root 用戶
RUN groupadd -r appgroup && useradd -r -g appgroup appuser

COPY --from=builder /app/target/*.jar app.jar

USER appuser
EXPOSE 8080

# JVM 優(yōu)化參數(shù)
ENTRYPOINT ["java", "-XX:+UseContainerSupport", "-XX:MaxRAMPercentage=75.0", "-jar", "app.jar"]

# 在 JDK 鏡像中生成最小化 JRE
FROM eclipse-temurin:17-jdk AS jre

RUN $JAVA_HOME/bin/jlink \
    --module-path $JAVA_HOME/jmods \
    --add-modules java.base,java.logging,java.sql,java.naming,java.desktop,java.management,java.security.jgss \
    --output /jre \
    --strip-debug \
    --no-header-files \
    --no-man-pages \
    --compress=2

# 運(yùn)行階段使用自定義 JRE
FROM alpine:3.19
COPY --from=jre /jre /opt/java
ENV JAVA_HOME=/opt/java
COPY --from=builder /app/target/*.jar app.jar
CMD ["/opt/java/bin/java", "-jar", "app.jar"]

# 構(gòu)建階段
FROM golang:1.21-alpine AS builder
WORKDIR /app

# 設(shè)置 Go 模塊代理
ENV GOPROXY=https://goproxy.cn,direct

# 利用層緩存：先復(fù)制 go.mod
COPY go.mod go.sum ./
RUN go mod download

# 復(fù)制代碼并編譯
COPY . .
# -ldflags="-w -s"：去除調(diào)試信息和符號表
RUN CGO_ENABLED=0 GOOS=linux go build \
    -ldflags="-w -s" \
    -o myapp .

# 運(yùn)行階段：使用 scratch 鏡像（完全空白，僅包含二進(jìn)制文件）
FROM scratch

# 從系統(tǒng)調(diào)用角度，scratch 鏡像沒有時區(qū)數(shù)據(jù)，需要顯式復(fù)制
COPY --from=builder /usr/share/zoneinfo /usr/share/zoneinfo
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
COPY --from=builder /app/myapp /myapp

WORKDIR /myapp
EXPOSE 8080

ENTRYPOINT ["./myapp"]

# 構(gòu)建階段
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY . .
RUN CGO_ENABLED=0 go build -ldflags="-w -s" -o myapp .

# 運(yùn)行階段：使用 Distroless
FROM gcr.io/distroless/static-debian12

COPY --from=builder /app/myapp /myapp
COPY --from=builder /app/config.yaml /config.yaml

# 注意：distroless 鏡像沒有 shell
ENTRYPOINT ["/myapp"]

# Linux
curl -L https://github.com/wagoodman/dive/releases/download/v0.10.0/dive_0.10.0_linux_amd64.tar.gz | tar xz && sudo install dive /usr/local/bin/

# macOS
brew install dive

# Docker 方式
docker run --rm -it -v /var/run/docker.sock:/var/run/docker.sock wagoodman/dive:latest <image-name>

# 分析鏡像
dive <image-name>

# 邊構(gòu)建邊分析
dive build -t <image-name> .

# CI 模式（自動驗(yàn)證）
CI=true dive <image-name>

# 對比兩個鏡像
dive <image-v1> <image-v2>

# 官方腳本（Linux/macOS）
curl -sL https://raw.githubusercontent.com/slimtoolkit/slim/master/scripts/install-slim.sh | sudo -E bash -

# Homebrew (macOS)
brew install docker-slim

# 手動下載
curl -fsSL https://downloads.dockerslim.com/releases/latest/dist_linux.tar.gz | tar xz -C /tmp
sudo mv /tmp/dist_linux/slim /usr/local/bin/

# 基本用法（自動探測 HTTP 服務(wù)）
docker-slim build --target <original-image>

# 指定標(biāo)簽
docker-slim build --target <original-image> --tag <image>:slim

# 禁用 HTTP 探針（CLI 應(yīng)用）
docker-slim build --http-probe=false --exec "./myapp" --target <image>

# 自定義探針命令
docker-slim build --http-probe-cmd GET:/health --target <image>

# 保留特定路徑（防止誤刪）
docker-slim build --include-path /etc/myapp --include-path /var/log/myapp --target <image>

# 分析鏡像（不修改）
docker-slim xray --target <image>

# GitHub Actions
- name: Build and slim Docker image
  uses: docker/build-push-action@v5
  with:
    push: false
    tags: myapp:${{ github.sha }}
- name: Optimize with docker-slim
  uses: kitabisa/docker-slim-action@v1
  with:
    target: myapp:${{ github.sha }}
    tag: myapp:slim-${{ github.sha }}

# 啟用 Docker Scout
docker scout enable

# 分析鏡像漏洞
docker scout cves <image>

# 快速比較兩個鏡像
docker scout compare <image1> <image2>

apiVersion: v1
kind: Pod
metadata:
  name: kaniko
spec:
  containers:
  - name: kaniko
    image: gcr.io/kaniko-project/executor:latest
    args:
      - "--context=git://..."
      - "--destination=gcr.io/my-project/my-app:latest"
    volumeMounts:
    - name: kaniko-secret
      mountPath: /secret
  restartPolicy: Never
  volumes:
  - name: kaniko-secret
    secret:
      secretName: docker-config

# 先在完整鏡像中檢查依賴
docker run --rm -it <full-image> ldd /path/to/binary

# 復(fù)制必要的依賴到精簡鏡像
COPY --from=builder /lib/x86_64-linux-gnu/libssl.so.* /lib/x86_64-linux-gnu/

# 階段 0：共享依賴
FROM node:18-alpine AS deps
WORKDIR /app
COPY package*.json ./
RUN npm ci

# 階段 1：構(gòu)建
FROM node:18-alpine AS builder
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .
RUN npm run build

# 階段 2：運(yùn)行
FROM nginx:alpine
COPY --from=builder /app/dist /usr/share/nginx/html

# 運(yùn)行階段使用 slim
FROM python:3.11-slim
RUN apt-get update && \
    apt-get install -y --no-install-recommends \
        curl \
        iputils-ping \
        procps \
    && rm -rf /var/lib/apt/lists/*

# 但在運(yùn)行時通過環(huán)境變量控制
ENV DEBUG_MODE=${DEBUG_MODE:-false}

# 使用具體版本，而非 latest
FROM python:3.11.8-alpine3.19

# 或鎖定到 digest（最高確定性）
FROM python@sha256:abc123...

DOCKER_BUILDKIT=1 docker build --progress=plain ...

# 在構(gòu)建時設(shè)置 SOURCE_DATE_EPOCH
ARG SOURCE_DATE_EPOCH=$(date +%s)
RUN ...