容器化（Containerization）
参考来源：Docker 官方文档、Google Distroless 项目、Trivy 文档、CNCF 容器安全白皮书、Chainguard Images。
适用场景
- 应用首次容器化（从裸机 / VM 迁移）
- 镜像体积优化（>500MB 需瘦身）
- 多阶段构建设计
- 安全基线加固（CVE 扫描、非 root 运行）
- 本地开发环境编排（Docker Compose）
- CI 中的镜像构建与推送
- 多架构镜像（linux/amd64 + linux/arm64）
核心原则
1. 最小化攻击面
使用 Distroless / Alpine / scratch
不安装调试工具到生产镜像
2. 多阶段构建
编译阶段 → 运行阶段
只复制产物，不复制源码
3. 层缓存优先
依赖安装在前，源码复制在后
利用 BuildKit 缓存挂载
4. 非 root 运行
USER 指令指定非特权用户
文件权限最小化
5. 可复现构建
锁定基础镜像 digest
锁定依赖版本
6. 扫描前置
CI 中构建后立即扫描
阻断 HIGH/CRITICAL 漏洞
7. 标签规范
语义化版本 + git SHA
不依赖 :latest
工作流程
1. 分析应用依赖
- 运行时需要哪些系统库
- 编译时需要哪些工具链
- 区分 devDependencies vs dependencies
2. 选择基础镜像
- 编译阶段：官方 SDK 镜像（node:20, golang:1.22, python:3.12）
- 运行阶段：distroless / alpine / scratch
- 锁定 digest（sha256:xxx）
3. 编写多阶段 Dockerfile
- Stage 1: 安装依赖
- Stage 2: 编译 / 构建
- Stage 3: 仅复制产物到最小运行时
4. 优化层缓存
- COPY package.json → RUN npm ci → COPY src/
- 使用 --mount=type=cache 加速
5. 安全加固
- 添加 .dockerignore
- USER nonroot
- HEALTHCHECK 指令
- 不暴露不必要端口
6. 本地验证
- docker build --target=production
- docker compose up（集成测试）
- dive 分析层
7. 安全扫描
- trivy image <image>:<tag>
- 阻断 HIGH/CRITICAL
- 生成 SBOM
8. 推送与签名
- docker push → registry
- cosign sign（可选）
- 记录 digest
镜像优化策略
| 策略 | 效果 | 适用场景 |
|---|---|---|
| 多阶段构建 | 减少 50-90% | 所有项目 |
| Distroless | 减少 70%+ | Go / Java / Node |
| Alpine 基础 | 减少 60% | 需要 shell 调试 |
| .dockerignore | 减少构建上下文 | 所有项目 |
| --mount=type=cache | 加速构建 | 依赖多的项目 |
| 合并 RUN 指令 | 减少层数 | 多 apt-get 场景 |
| scratch | 最小（<10MB） | 静态编译 Go |
Docker Compose 编排
# docker-compose.yml 结构
services:
app:
build:
context: .
dockerfile: Dockerfile
target: production
ports:
- "3000:3000"
environment:
- DATABASE_URL=postgres://db:5432/app
depends_on:
db:
condition: service_healthy
healthcheck:
test: ["CMD", "curl", "-f", "http://localhost:3000/health"]
interval: 10s
timeout: 5s
retries: 3
db:
image: postgres:16-alpine
volumes:
- pgdata:/var/lib/postgresql/data
healthcheck:
test: ["CMD-SHELL", "pg_isready -U postgres"]
volumes:
pgdata:
质量自检
□ 使用多阶段构建
□ 运行阶段基于 Distroless / Alpine / scratch
□ 基础镜像锁定 digest 或具体版本
□ 非 root 用户运行
□ .dockerignore 排除无关文件
□ 依赖安装层在源码复制层之前（缓存友好）
□ 无 secrets 硬编码在镜像中
□ HEALTHCHECK 已配置
□ Trivy 扫描无 HIGH/CRITICAL
□ 镜像大小合理（<200MB 应用层）
□ 多架构构建（如需）
□ docker compose 可一键启动本地环境
□ 标签使用语义化版本 + SHA
常见坑
- :latest 标签——不可复现，生产回滚困难
- 单阶段构建——镜像含编译工具链，体积 1GB+
- root 运行——容器逃逸后直接 root 权限
- COPY . .——把 .git / node_modules / .env 打入镜像
- 不锁定基础镜像——上游更新导致构建失败
- RUN apt-get 不清理——每层残留缓存
- secrets 写入 ENV——docker inspect 可见
- 不用 .dockerignore——构建上下文 GB 级
- HEALTHCHECK 缺失——编排器无法判断就绪
- 层顺序错误——改一行代码重装所有依赖
- 不扫描就推送——带 CVE 上生产
- compose 硬编码端口——团队冲突
配套模板
templates/dockerfile-template.md— 多阶段 Dockerfile + .dockerignore + Compose 模板
与其他 skill 的协作
上游：
backend-engineer → 应用代码 + 依赖清单
frontend-engineer → 静态产物构建
下游：
ci-cd-pipeline → 镜像构建阶段
kubernetes-orchestration → 镜像部署
secrets-config → 运行时 secrets 注入
monitoring-alerting → 健康检查端点
