Docker 镜像分层：别光知道用，这些坑你踩过没？
镜像分层是 Docker 的核心概念之一，但不少同学只知道 docker build 就完事了。实际上，合理利用分层特性，能显著提升构建速度、减小镜像体积。本文就来聊聊 Docker 镜像分层的实战技巧，避免常见的坑。
什么是 Docker 镜像分层？
简单来说，Docker 镜像是由一系列只读层组成的。每一层都代表了 Dockerfile 中的一条指令的结果。比如，FROM 指令创建基础层，COPY 指令复制文件，RUN 指令执行命令，都会产生新的层。镜像的体积，就是所有层体积的总和。
镜像分层的好处
- 加速构建：如果某一层没有改变，Docker 可以直接使用缓存，无需重新构建。
- 减小镜像体积：相同的层可以被多个镜像共享，避免重复存储。
实战技巧与最佳实践
1. 合理安排 Dockerfile 指令顺序
原则：把不易变动的指令放在前面，易变动的指令放在后面。
例如，你的应用依赖一些基础的系统库，这些库通常不会频繁更新。而应用代码则经常修改。正确的做法是先安装系统库，再复制应用代码。
错误示例：
FROM ubuntu:latest
COPY ./app /app
RUN apt-get update && apt-get install -y some-package
正确示例：
FROM ubuntu:latest
RUN apt-get update && apt-get install -y some-package
COPY ./app /app
为什么？如果 /app 目录下的文件发生变化，Docker 会认为 COPY ./app /app 这一层发生了变化，后面的 RUN apt-get update && apt-get install -y some-package 这一层也需要重新执行。即使 some-package 并没有更新，也会重新安装一遍，浪费时间。
这在vDisk这类需要频繁更新应用镜像的平台中尤为重要。频繁的重构建会降低效率，合理安排顺序可以显著提升镜像更新速度。
2. 减少层数：合并 RUN 指令
每个 RUN 指令都会创建一个新的层。尽量将多个逻辑相关的命令合并成一个 RUN 指令，以减少层数。
错误示例：
FROM ubuntu:latest
RUN apt-get update
RUN apt-get install -y some-package
RUN apt-get install -y another-package
正确示例：
FROM ubuntu:latest
RUN apt-get update && apt-get install -y some-package another-package
除了减少层数，合并 RUN 指令还能避免中间状态被写入镜像，减小镜像体积。例如，安装软件后删除临时文件：
FROM ubuntu:latest
RUN apt-get update && apt-get install -y --no-install-recommends some-package && rm -rf /var/lib/apt/lists/*
注意：如果命令过于复杂，影响可读性，可以适当拆分。但要尽量保证逻辑相关性。
3. 使用 .dockerignore 文件
.dockerignore 文件的作用类似于 .gitignore。它可以排除不需要打包到镜像中的文件和目录，例如编译产生的临时文件、日志文件、文档等。
强烈建议在项目的根目录下创建一个 .dockerignore 文件。 排除不必要的文件，可以减小镜像体积，加速构建。
例如：
node_modules
.git
*.log
4. 利用多阶段构建 (Multi-Stage Builds)
多阶段构建允许你在一个 Dockerfile 中使用多个 FROM 指令。每个 FROM 指令都代表一个构建阶段。你可以从一个阶段复制文件到另一个阶段，最终只保留最终需要的层。
多阶段构建可以极大地减小镜像体积。 尤其是在需要编译的语言（如 Golang、Java）中，你可以使用一个阶段来编译代码，然后将编译后的二进制文件复制到另一个更小的基础镜像中。
示例 (Golang):
# 构建阶段
FROM golang:1.16 AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp
# 运行阶段
FROM alpine:latest
WORKDIR /app
COPY --from=builder /app/myapp .
CMD ["./myapp"]
在这个例子中，builder 阶段负责编译 Golang 代码，alpine 阶段只包含编译后的二进制文件和必要的运行环境。最终的镜像体积会远小于包含 Golang 开发环境的镜像。
5. 小心使用 ADD 指令
ADD 指令除了复制文件，还能解压压缩包和从 URL 下载文件。但这些功能也可能带来一些问题。
- 解压压缩包：如果只是想复制压缩包本身，而不是解压后的文件，建议使用
COPY指令。 - 从 URL 下载文件：下载过程可能会失败，导致构建中断。另外，下载的文件可能会被篡改，存在安全风险。
通常情况下，建议使用 COPY 指令复制本地文件，使用 RUN wget 或 RUN curl 下载远程文件。
6. 缓存失效排查
Docker 构建过程中，如果某一层的缓存失效，后面的所有层都需要重新构建。常见的缓存失效原因包括：
- Dockerfile 文件发生变化。
COPY或ADD指令源文件发生变化。RUN指令执行的命令结果发生变化。- 基础镜像 (
FROM指令) 发生变化。
可以使用 docker build --no-cache . 命令强制不使用缓存，检查 Dockerfile 是否正确。
常见坑点与注意事项
- 镜像层数过多：会导致镜像体积增大，构建速度变慢。
- Dockerfile 过大：难以维护，容易出错。
- 缓存滥用：误认为使用了缓存，但实际上并没有。
总结
Docker 镜像分层是一个强大的特性，但需要合理使用才能发挥其优势。掌握本文介绍的技巧，可以帮助你构建更小、更快、更安全的 Docker 镜像。在实际项目中，需要根据具体情况进行调整和优化。记住，没有银弹，只有最适合你的方案。
最后提一下，镜像体积的优化是一个持续的过程，需要不断地尝试和学习。希望这篇文章能帮助你入门，并在实践中不断进步。
