在云原生时代，容器镜像（Docker Image）是应用交付的标准制品。然而，在实际工作中，我经常看到动辄 1GB+ 的臃肿镜像，或者包含大量高危漏洞的“裸奔”镜像。这不仅浪费存储和带宽，拉慢发布速度，更给生产环境埋下了安全隐患。
本文将介绍构建小（Small）、快（Fast）、**安全（Secure）**容器镜像的实战技巧。
1. 为什么镜像大小很重要？
- 部署速度：K8s 节点拉取镜像需要时间，镜像越小，扩容和回滚越快。
- 安全性：镜像越小，包含的组件越少，攻击面（Attack Surface）就越小。
- 成本：减少镜像仓库存储成本和网络传输带宽成本。
2. 镜像瘦身技巧
2.1 选用合适的基础镜像
不要无脑使用 ubuntu:latest 或 centos:latest。
- Alpine: 极其轻量（约 5MB），适合大多数应用。但注意它使用 musl libc，某些依赖 glibc 的应用可能需要重新编译或兼容。
- Slim 版本: 如
python:3.9-slim，去除了构建工具和文档，比完整版小很多。 - Distroless: Google 推出的镜像，仅包含应用运行所需的最小依赖（无 Shell，无包管理器）。适合对安全性要求极高的场景。
2.2 多阶段构建 (Multi-stage Builds)
这是瘦身最有效的手段。将构建环境（Maven, Gradle, GCC）与运行环境分离。
示例（Go 应用）:
# 阶段一：构建
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY . .
# 静态编译，去除符号表
RUN CGO_ENABLED=0 GOOS=linux go build -ldflags="-w -s" -o myapp .
# 阶段二：运行
FROM alpine:latest
WORKDIR /root/
# 只拷贝编译好的二进制文件
COPY --from=builder /app/myapp .
CMD ["./myapp"]
通过这种方式，最终镜像中不包含 Go 编译器和源代码，体积可缩减 90% 以上。
2.3 减少镜像层数与清理缓存
Dockerfile 中的每一条 RUN 指令都会生成一个新的层（Layer）。
- 合并指令：将安装依赖和清理缓存的操作合并在同一行。
错误示范:
RUN apt-get update
RUN apt-get install -y python3
RUN rm -rf /var/lib/apt/lists/*
正确示范:
RUN apt-get update && \
apt-get install -y --no-install-recommends python3 && \
rm -rf /var/lib/apt/lists/*
注意使用 --no-install-recommends 避免安装不必要的推荐软件包。
2.4 使用 .dockerignore
类似 .gitignore，将不需要的文件（.git目录, 本地测试数据, 文档）排除在构建上下文之外，防止 COPY . . 将垃圾文件带入镜像。
3. 镜像安全加固
3.1 最小权限原则：非 root 用户运行
默认情况下，容器内的进程以 root 身份运行，这存在逃逸风险。
# 创建一个非特权用户
RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser
CMD ["./myapp"]
3.2 定期扫描漏洞
集成镜像扫描工具到 CI/CD 流水线中。
- Trivy: Aqua Security 开源的全能扫描器，速度快，数据库全。
- Clair: CoreOS 出品。
- Docker Scan: Docker CLI 内置（基于 Snyk）。
CI 流水线示例:
# 只有当没有 CRITICAL 级别漏洞时才通过
trivy image --exit-code 1 --severity CRITICAL myapp:latest
3.3 避免硬编码敏感信息
永远不要在 Dockerfile 中使用 ENV 设置密码或 Token。这些信息通过 docker history 可以轻易查到。
- 正确做法：在运行时通过 K8s Secret 或环境变量注入。
4. 构建速度优化
- 利用缓存：将变化最少的部分（如依赖安装
go mod download或npm install）放在 Dockerfile 前面，源代码拷贝放在后面。这样代码变动时，可以复用之前的依赖层缓存。 - BuildKit: 开启 Docker BuildKit (
DOCKER_BUILDKIT=1)，支持并发构建，速度显著提升。
总结
一个优秀的 Dockerfile 应该像精简的代码一样，逻辑清晰、无冗余。通过实施多阶段构建、最小化基础镜像、非 root 运行和自动化扫描，我们不仅能获得轻量级的镜像，更能为生产环境筑起第一道安全防线。