最佳实践与陷阱汇总

# ❌ 差
FROM ubuntu:22.04
RUN apt-get update && apt-get install -y python3

# ✅ 好
FROM python:3.11-slim       # 使用 slim/alpine 基础镜像

# ❌ 差：依赖文件变了 → go mod download 缓存失效
FROM golang:1.21
WORKDIR /app
COPY . .
RUN go mod download
RUN go build -o server .

# ✅ 好：只复制依赖文件 → 只有 go.mod 变了才重新下载
FROM golang:1.21
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download            # ← 这步被缓存，除非 go.mod/go.sum 变化
COPY . .
RUN go build -o server .       # ← 这步被缓存，除非源码变化

# ❌ 多 RUN = 多层
RUN apt-get update
RUN apt-get install -y curl
RUN apt-get install -y vim
RUN rm -rf /var/lib/apt/lists/*

# ✅ 合并 + 清理
RUN apt-get update && \
    apt-get install -y --no-install-recommends curl vim && \
    rm -rf /var/lib/apt/lists/*

# .dockerignore
**/node_modules
**/.git
**/README.md
**/.env
**/dist
**/.cache
**/*.log
.git
.idea
.vscode

# ✅ 创建应用用户
RUN groupadd -r --gid 1000 appuser && \
    useradd -r --uid 1000 -g appuser appuser
USER appuser

# ✅ 在 docker run 时指定
docker run --user 1000:1000 my_app

# 避免一个容器占满宿主机资源
docker run --memory 256m --memory-swap 512m --cpus 0.5 my_app

FROM alpine:3.18
RUN apk add --no-cache tzdata && \
    cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime && \
    echo "Asia/Shanghai" > /etc/timezone && \
    apk del tzdata

ENV LANG=C.UTF-8

# ❌ 不要在 Dockerfile 中硬编码密码
# ENV DB_PASSWORD=secret123

# ❌ 不要在 docker run 的 -e 中用明文
# 它会出现在 docker inspect 和历史中

# ✅ 使用 Docker Secrets（Swarm）
echo "secret123" | docker secret create db_password -
docker service create --secret db_password ...

# ✅ 使用 Docker Compose 的 secrets
# secrets:
#   db_password:
#     file: ./secrets/db_password.txt

# ✅ 使用外部密钥管理服务（Vault、AWS Secrets Manager）

# Docker Scout（内置）
docker scout quickview nginx:latest
docker scout cves nginx:latest

# Trivy（第三方）
trivy image nginx:latest

# Snyk
snyk container test nginx:latest

# 以只读模式运行容器（/tmp 除外）
docker run --read-only --tmpfs /tmp --tmpfs /run nginx

# 移除所有 capabilities，再按需添加
docker run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx

# 查看容器启动失败原因
docker logs <id>

# 覆盖 ENTRYPOINT 手动调试
docker run -it --rm --entrypoint /bin/sh my_app

# 查看容器退出码
docker inspect -f '{{.State.ExitCode}}' <id>
docker inspect -f '{{.State.Error}}' <id>

# 对比容器和镜像的差异
docker diff <id>

# 查看容器的完整启动命令
docker inspect -f '{{.Path}} {{.Args}}' <id>

# 查看容器资源使用
docker stats --no-stream

# 导出容器文件系统
docker export <id> | tar -tv | less

# 查看是否有 OOM 事件
docker inspect --format='{{.State.OOMKilled}}' <container_id>

# 查看系统日志
dmesg | grep oom