在单个 RUN 语句中组合多个命令以减小映像大小

在此示例中，必须在容器映像中安装软件，例如 Node.js。使用 Node.js 的基本映像来构建 Node.js 应用程序。

要手动安装 Node.js，可以使用以下 Dockerfile 示例:

FROM ubuntu

RUN apt update
RUN apt upgrade -y
RUN apt install -y nodejs
RUN apt clean
RUN rm -rf /var/lib/apt/lists/\*

在此示例中，多个 RUN 语句用于更新，升级，安装 Node.js，清除和除去文件的高速缓存。 虽然此语句序列是正确的，但使用多个 RUN 语句并不是实现该语句的最佳方法。 处理 Dockerfile 时，Dockerfile 中的每个语句都会创建一个层。 每个层都包含已创建或更新的文件以及有关已删除内容的信息。 容器映像是所有层的集合。 如果在一个语句中添加了文件并在第二个语句中删除了文件，那么生成的图像仍包含第一个语句的层中的文件，然后在第二个层中将其标记为已删除。

要节省磁盘空间，请指定单个 RUN 语句来为此组命令创建单层。

FROM ubuntu

RUN apt update && apt upgrade -y && apt install -y nodejs && apt clean && rm -rf /var/lib/apt/lists/\*

要维护可读的 Dockerfile，每个命令一行，请向代码添加换行符，

FROM ubuntu

RUN \
    apt update && \
    apt upgrade -y && \
    apt install -y nodejs && \
    apt clean && \
    rm -rf /var/lib/apt/lists/\*

通过使用此类型的语句，可以将容器映像大小从大约 174 MB 减少到大约 147 MB。 请注意，您的示例大小可能有所不同，因为 Ubuntu 基本映像和 Node.js 包可能会发生更改。

此类型的最佳实践不仅适用于软件包安装，还适用于类似的任务。 在下一个示例中，下载和解压缩软件包 (同样是 Node.js) 可能类似于以下示例:

FROM ubuntu

RUN apt update
RUN apt upgrade -y
RUN apt install -y curl
RUN curl https://nodejs.org/dist/v16.14.2/node-v16.14.2-linux-x64.tar.gz -o /tmp/nodejs.tar.gz
RUN mkdir /opt/node
RUN tar -xzf /tmp/nodejs.tar.gz -C /opt/node --strip 1
RUN rm /tmp/nodejs.tar.gz
RUN apt remove -y curl
RUN apt clean
RUN rm -rf /var/lib/apt/lists/\*

rm 命令将除去已下载的 nodejs 包，但多个 RUN 语句将再次创建单独的层。 此外，要下载 nodejs 软件包，请临时安装 curl 软件包。 虽然 curl 软件包本身稍后会除去，但其隐式安装的依赖关系仍存在。 更好的 Dockerfile 类似于以下示例:

FROM ubuntu

RUN \
    apt update && \
    apt upgrade -y && \
    apt install -y curl && \
    curl https://nodejs.org/dist/v16.14.2/node-v16.14.2-linux-x64.tar.gz -o /tmp/nodejs.tar.gz && \
    mkdir /opt/node && \
    tar -xzf /tmp/nodejs.tar.gz -C /opt/node --strip 1 && \
    rm /tmp/nodejs.tar.gz && \
    apt remove -y curl && \
    apt auto-remove -y && \
    apt clean && \
    rm -rf /var/lib/apt/lists/\*

相关命令将组合到单个 RUN 语句中，并添加 apt auto-remove 命令以除去依赖关系。 此示例将图像大小从大约 222 MB 减小到大约 162 MB。

使用极小的基本图像

以上示例使用 Ubuntu 作为基本映像。 虽然此映像包含许多有用的实用程序，但基本映像中的实用程序越多，其大小越大。 此外，通过包含更多实用程序，您可以增加迂到安全漏洞的机会，从而要求您重建映像。 要避免这两个问题，请使用较小的基本映像。 例如

• Alpine 是具有较小大小的正式 Docker 映像。 对于 Java 或 Node.js之类的编程环境，您通常会找到基于 Alpine的标记。

• 来自 Google Container Tools 的无磁盘映像完全不包含操作系统工具，但不包含适用于不同语言 (例如 Java 和 Node.js) 的必需运行时环境。

通过在 program.js 文件中构建用于运行 Node.js 程序的容器映像来比较这些基本映像。 对于 Ubuntu，Dockerfile 类似于以下示例:

FROM ubuntu

RUN \
    apt update && \
    apt upgrade -y && \
    apt install -y nodejs && \
    apt clean && \
    rm -rf /var/lib/apt/lists/\*

COPY program.js /app/program.js

WORKDIR /app

ENTRYPOINT ["node", "program.js"]

对于 Alpine，直接从 Node.js获取映像。

FROM node:16-alpine

COPY program.js /app/program.js

WORKDIR /app

ENTRYPOINT ["node", "program.js"]

对于 distroless，请使用以下示例:

FROM gcr.io/distroless/nodejs:16

COPY program.js /app/program.js

WORKDIR /app

CMD ["program.js"]

当基于 Ubuntu的映像为 147 MB 时，基于 Alpine 的映像为 90 MB，基于 distroless 的映像为 94 MB。

不包含用于减少图像大小的源和构建工具

在先前基于 Node.js 的示例中，将单个源文件添加到容器映像。 此示例可以使用单个源文件，因为不需要编译。 但是，如果需要编译，那么请仅对构建使用必需的工具，但不要在生成的映像中包含这些工具。 例如，指定使用 Maven 作为示例的 Java 应用程序。 编码不良的 Dockerfile 类似于以下示例:

FROM maven:3-jdk-11-openj9

WORKDIR /app
COPY . /app

RUN mvn package

EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app/target/java-application-1.0-SNAPSHOT-fat.jar"]

生成的容器映像包含来自 Maven 的所有源代码和所有中间文件 (例如其工件高速缓存，后来打包到 JAR 文件中的类文件) 以及 Maven 构建工具。 此外，在运行时需要更小的 Java 运行时环境 (JRE) 时，还会包含 Java Development Kit (JDK)。 因此，图像大小为 466 MB。

要使图像更小，请使用称为多阶段构建的功能。 Docker 构建中的每个阶段都有自己的基本映像，并且可以在其阶段中运行命令。 最后，将构建一个最终映像，该映像将在先前阶段的工件中进行复制。 要从源代码构建容器映像，公共模式有两个阶段:

1. 使用基本映像的构建器阶段，其中包含将源代码编译为运行时的二进制文件所需的所有工具。
2. 运行时阶段，它将基本映像与运行二进制文件所必需的运行时环境配合使用。 将来自构建器阶段的二进制文件复制到此阶段。

对于 Maven 项目，结果类似于以下示例:

FROM maven:3-jdk-11-openj9 AS builder

WORKDIR /app
COPY . /app

RUN mvn package

FROM adoptopenjdk:11-jre-openj9

WORKDIR /app
COPY --from=builder /app/target/java-application-1.0-SNAPSHOT-fat.jar /app/java-application.jar

EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app/java-application.jar"]

在此示例中，构建器阶段使用 Maven 基本映像来构建应用程序的 JAR 文件。 运行时阶段使用较小的 JRE 基本映像。 通过使用 COPY --from=STAGE_NAME 命令，将 JAR 文件从构建器阶段复制到运行时阶段。 生成的图像大小为 242 MB，节省约 48%。

此模式还可用于需要执行编译的其他编程语言。

• 需要构建的 Node 应用程序，例如 Angular 或 React 构建。 在这里，构建器和运行时基本映像最终可能相同 (两个节点)，但并非所有构建时工件和源都需要复制到运行时映像中。
• 将源代码编译为在没有运行时环境 (例如 Go 或 Rust) 的情况下运行的本机可执行文件的任何编程语言。

对于那些生成本机可执行文件且完全不需要运行时环境的语言，请将另一个 Docker 功能用于运行时阶段: 临时。 Scratch 可以用作 FROM 命令中的基础，但不是最终容器映像。 相反，它告诉 Docker 构建完全不使用基本映像。 如果没有来自基本映像的任何操作系统文件，那么结果映像可以仅包含单个文件: 从构建器阶段复制过来的二进制文件。 请注意，根据编程语言和代码，您可能需要对编译器选项进行进一步调整，因为二进制文件可能依赖于某些操作系统文件存在。

保持图像清洁

当您首先开发 Dockerfile 并调试其工作方式时，可以安装一些临时工具或应用无需在最终容器映像中的其他工作负载。 除去这些临时文件和工作负载可使您的映像保持干净，小型且更安全。