小春学习日刊 2026年第3期：2026.10.15

引言

在云原生时代，容器化部署已成为标准实践。然而，一个臃肿、构建缓慢的容器镜像，不仅会拖慢部署速度，增加存储成本，还可能引入不必要的安全风险。作为平台工程与运维工程师，掌握容器镜像的优化构建技巧，是提升交付效率与系统健壮性的关键一环。本期学习日刊，我们将聚焦于Docker镜像构建的优化实践，从底层原理出发，逐步深入到可操作的实战步骤，并总结常见陷阱，助你构建更轻、更快、更安全的容器镜像。

原理要点

理解镜像优化的核心，在于掌握Docker镜像的构建机制。

1. 分层存储与缓存机制：Docker镜像由多个只读层叠加而成。每一层对应Dockerfile中的一条指令（如FROM、RUN、COPY）。构建时，Docker会检查当前层与缓存中是否有相同层。若有，则直接使用缓存，跳过执行。这解释了为什么指令顺序和变更频率会影响构建速度。
2. 多阶段构建：这是优化镜像大小的利器。其思想是将构建过程分为多个阶段，每个阶段使用不同的基础镜像。最终只将前一阶段生成的必要产物（如编译后的二进制文件）复制到最终的生产阶段镜像中。生产阶段镜像可以基于一个极简的基础镜像（如alpine），从而大幅减少最终镜像的体积。
3. 镜像精简原则：最终镜像应只包含运行应用程序所必需的文件、库和依赖。任何构建工具、临时文件、调试信息都应被清理掉。

实战步骤

下面我们通过一个通用的应用构建场景来演示优化过程。假设我们有一个使用Go语言编写的应用，需要编译并打包到容器中。

步骤一：编写基础Dockerfile（未优化）

# 使用完整的Go官方镜像作为构建环境
FROM golang:1.21

# 设置工作目录
WORKDIR /app

# 复制整个项目源码
COPY . .

# 编译应用
RUN go build -o myapp

# 将编译好的应用复制到新的镜像层（这里其实还是同一个镜像，只是复制操作）
# 注意：此方式并未减少镜像体积，因为golang镜像本身很大
CMD ["./myapp"]

这个Dockerfile构建出的镜像体积会很大，因为包含了Go编译器、源码等所有构建依赖。

步骤二：应用多阶段构建进行优化

# 第一阶段：构建阶段
# 使用golang镜像进行编译
FROM golang:1.21 AS builder

WORKDIR /app

# 先复制go.mod和go.sum，利用缓存加速依赖下载
COPY go.mod go.sum ./
RUN go mod download

# 再复制源码进行编译
COPY . .
RUN go build -o myapp

# 第二阶段：运行阶段
# 使用一个极小的基础镜像，如alpine
FROM alpine:latest

# 安装必要的运行时依赖（例如，如果应用需要ca-certificates）
RUN apk --no-cache add ca-certificates

WORKDIR /root/

# 从构建阶段复制编译好的二进制文件
COPY --from=builder /app/myapp .

# 设置执行命令
CMD ["./myapp"]

这个多阶段构建的Dockerfile，最终镜像只包含alpine基础镜像、必要的证书和编译好的myapp二进制文件，体积显著减小。

步骤三：进一步优化层缓存与顺序

在Dockerfile中，指令的顺序至关重要。应将变化频率低的指令放在前面，变化频率高的指令放在后面，以最大化利用缓存。

例如，在上面的构建阶段中，我们先COPY go.mod go.sum并执行go mod download，然后再COPY . .。因为go.mod和go.sum文件通常不频繁变动，这样即使源码发生变化，依赖下载层也能命中缓存，加快构建速度。

步骤四：使用更轻量级的基础镜像

在最终的生产阶段，除了alpine，还可以考虑使用distroless或scratch等几乎不包含任何额外内容的镜像，进一步减少攻击面。但需注意，这类镜像可能缺少必要的工具（如shell），需要确保应用能独立运行。

常见坑与排查清单

1. 坑点：基础镜像选择过大
   • 现象：镜像体积庞大，拉取和启动慢。
   • 排查：检查FROM指令使用的基础镜像。避免在生产镜像中使用包含完整开发工具链的镜像（如完整的ubuntu、golang镜像）。
   • 解决：根据应用需求，选择alpine、distroless等精简基础镜像。
2. 坑点：Dockerfile指令顺序不当，缓存失效
   • 现象：每次构建都重新执行所有步骤，构建时间变长。
   • 排查：观察构建日志，看哪些RUN层没有命中缓存。检查COPY或ADD指令复制的文件是否频繁变动。
   • 解决：调整指令顺序，将稳定、少变动的文件（如依赖声明文件）的COPY和安装指令放在前面。
3. 坑点：未清理构建临时文件
   • 现象：镜像中包含不必要的缓存、临时文件。
   • 排查：进入容器内部，检查文件目录大小。
   • 解决：在RUN指令中，将安装和清理操作合并。例如，在apt-get或yum安装后，立即执行rm -rf /var/lib/apt/lists/*等清理命令。
4. 坑点：多阶段构建中复制了多余文件
   • 现象：最终镜像仍包含构建阶段的源码或中间文件。
   • 排查：仔细检查COPY --from=builder指令，确保只复制必要的产物。
   • 解决：精确指定复制路径，只复制最终的可执行文件或静态资源。

小结

容器镜像优化是一个持续的过程，核心在于理解分层构建与缓存机制，并灵活运用多阶段构建等技巧。通过精心设计的Dockerfile，我们可以构建出体积更小、构建更快、安全性更高的容器镜像。这不仅提升了CI/CD流水线的效率，也为大规模容器化部署奠定了坚实的基础。希望本文的实战指南能帮助你更好地掌握这一关键技能。