- 实施多阶段构建，将编译环境与执行环境分离。
- 通过使用 Alpine 或 Distroless 等轻量级发行版，大幅降低镜像文件大小。
- 通过最大限度地减少攻击面和消除不必要的工具来提高安全态势。
- 通过高效的层管理和分析工具的使用，优化部署生命周期。
你可能遇到过这种情况：检查存储容器时，发现一些镜像文件大小达到几GB，却没有任何明显的原因。这不仅仅是磁盘空间的问题；拥有…… 图片尺寸过大 这导致部署速度像乌龟一样慢，基础设施以完全低效的方式消耗资源。
要解决这个问题，仅仅手动删除几个文件是不够的。我们需要应用 工程策略 在 创建自定义 Dockerfile 镜像 为了确保我们的容器轻量、快速，最重要的是安全，本文将详细介绍如何将大型镜像转换为在生产环境中完美运行的优化版本。
分层的概念及其对重量的影响
要理解优化，首先需要了解 Docker 的内部工作原理。镜像并非一个整体，而是由多个部分组成。 重叠层在 Dockerfile 中编写的每个指令，例如 RUN、COPY 或 ADD，都会创建一个新层并添加到前一个层中。
问题在于，当我们添加工具、安装软件包，然后又通过单独的指令将其移除时，Docker 会保存每一层的历史记录，因此，如果添加工具、安装软件包，然后又移除它们，就会出现问题。 所占空间 即使在最终版本中看不到这些临时文件，它们仍然存在。这就是为什么它们至关重要。 组合命令 用一行代码（使用 &&）避免创建冗余层。
多阶段构建技巧：分而治之
多阶段建造可能是减轻重量最有效的技巧。它主要包括使用…… 多个 FROM 指令 在同一个文件中。想象一下，你有一个“烹饪”阶段，你需要准备所有东西；还有一个“摆盘”阶段，你只需要摆放顾客要吃的部分。
- 构建阶段： 这里我们使用一个功能强大的镜像，其中包含了所有必要的工具：编译器、SDK、包管理器和开发工具。代码会在这里被转换成二进制文件，或者文件会被转译。
- 运行时阶段： 在这个阶段，我们从零开始，使用极简主义的图像。我们所做的就是 复制这些工件 已从上一阶段编译完成。编译过程中的所有“噪声”都不会出现在最终图像中。
这项技术对于像 Go 或 Rust 这样的编译型语言来说简直是无价之宝，但它也适用于 Java（使用 JDK 进行构建，JRE 进行运行），甚至适用于 TypeScript，我们只需要…… 生成的 JavaScript 代码 以及生产依赖项，将 TS 编译器扔进了垃圾桶。
基础镜像：从 Ubuntu 到 Alpine 和 Distroless
选择基础镜像就像选择房屋的地基；如果用了太多稻草，结果就会平庸。与其使用像 Ubuntu 这样通用且重量级的镜像，强烈建议切换到…… 高山Linux这是一种超轻型配送方式，注重安全性和效率。
如果我们想将优化推向极致，那就需要用到图片了。 一发不可收拾这些由谷歌提供支持的镜像甚至没有 shell（命令解释器），这意味着它们只包含应用程序及其最少的依赖项。 移除 shell 和实用程序 对于该系统，我们不仅将重量降至最低，而且还使攻击者几乎不可能在容器内执行命令。
对于更极端的情况，例如使用 Go 语言，我们可以使用镜像。 划伤它实际上是一张空白图像，是所有基础的基础，使得最终的容器仅占用几兆字节。
安全与效率：超越尺寸
这不仅仅是缩小图像尺寸以便快速部署的问题。重量和安全性之间有着直接的关系： 到更多已安装的库攻击面越大，需要修复的漏洞就越多。漏洞越少，需要修补的潜在漏洞也就越少。
另一个好的做法是 避免使用 root 用户使用无权限用户帐户运行应用程序可以防止即使有人设法访问容器，也无法完全控制系统。另外，别忘了那个文件。 .dockerignore这对于防止像 .git 文件夹或本地日志这样的垃圾文件意外地进入镜像中至关重要。
分析和优化工具
有时候很难知道多余的重量在哪里。这时就需要用到一些工具，比如 潜水这使我们能够对图像进行“解剖”。借助 Dive，我们可以浏览每一层，准确查看哪些文件被添加或修改，从而识别出问题所在。 浪费的空间 并建议改进说明书的顺序。
另一方面，我们有 Docker Slim它通过移除未使用的元素来自动清理图像，并且 构建工具包它通过更智能的缓存和并行任务执行来优化构建速度。为了完成质量周期，还需要扫描工具，例如： 特里维 它们帮助我们在镜像到达注册中心之前检测到安全漏洞。
通过结合阶段分割、选择极简底座和彻底的层清理，我们成功地将庞大的容器改造成了 敏捷部署单元大幅降低云存储成本，提高 CI/CD 流水线的响应速度。
对字节世界和一般技术充满热情的作家。我喜欢通过写作分享我的知识，这就是我在这个博客中要做的，向您展示有关小工具、软件、硬件、技术趋势等的所有最有趣的事情。我的目标是帮助您以简单而有趣的方式畅游数字世界。