WDSEGA

Posted on Jun 4

Docker多阶段构建：将镜像体积缩小90%的实战技巧

#docker #devops #optimization

前言

Docker镜像体积过大是很多开发团队面临的常见问题。一个未经优化的Python应用镜像可能高达1GB以上，导致构建慢、部署慢、存储成本高、安全风险大。本文将通过实际案例，展示如何利用Docker多阶段构建等技巧，将镜像体积缩小90%以上。

问题：未优化的Dockerfile

先看一个典型的"反面教材"——未经优化的Python Dockerfile：

[Code example omitted for brevity - see full article on WD Tech Blog]

问题分析：

Ubuntu基础镜像本身就很大（约77MB）
安装了大量构建依赖（build-essential、python3-dev等）
没有使用虚拟环境隔离
没有清理apt缓存和pip缓存
没有使用.dockerignore排除无关文件

方案一：多阶段构建基础版

多阶段构建的核心思想是：在构建阶段安装所有依赖和编译工具，在运行阶段只复制必要的产物。

[Code example omitted for brevity - see full article on WD Tech Blog]

优化效果：

镜像从1.2GB缩小到约350MB（缩小约70%）
运行阶段不包含构建工具
使用非root用户运行

方案二：Alpine基础镜像

Alpine Linux是一个极简的Linux发行版，基础镜像只有约5MB。

# 方案二：Alpine + 多阶段构建（镜像大小约120MB）
# 阶段1：构建阶段
FROM python:3.12-alpine AS builder

WORKDIR /build

# Alpine需要安装额外的构建工具
RUN apk add --no-cache \
    build-base \
    libffi-dev \
    openssl-dev \
    musl-dev

# 创建虚拟环境
RUN python -m venv /opt/venv
ENV PATH="/opt/venv/bin:$PATH"

# 安装依赖
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# 阶段2：运行阶段
FROM python:3.12-alpine AS runtime

WORKDIR /app

# 安装运行时依赖（某些包需要C库）
RUN apk add --no-cache \
    libstdc++ \
    libgcc \
    openssl

# 复制虚拟环境
COPY --from=builder /opt/venv /opt/venv
ENV PATH="/opt/venv/bin:$PATH"

# 复制应用代码
COPY . .

# 非root用户
RUN adduser -D appuser
USER appuser

CMD ["python", "app.py"]

注意事项：

Alpine使用musl libc而不是glibc，某些Python包可能需要重新编译
如果依赖包含C扩展（如numpy、pandas），编译时间可能较长
可以使用 manylinux 兼容的wheel包避免编译

方案三：distroless终极优化

Google的distroless镜像只包含应用及其运行时依赖，不包含包管理器、Shell等任何多余组件。

# 方案三：distroless + 多阶段构建（镜像大小约65MB）
# 阶段1：构建阶段
FROM python:3.12-alpine AS builder

WORKDIR /build

RUN apk add --no-cache build-base libffi-dev openssl-dev musl-dev

RUN python -m venv /opt/venv
ENV PATH="/opt/venv/bin:$PATH"

COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# 阶段2：运行阶段
FROM gcr.io/distroless/python3-debian12 AS runtime

WORKDIR /app

# 复制虚拟环境
COPY --from=builder /opt/venv /opt/venv
ENV PATH="/opt/venv/bin:$PATH"

# 复制应用代码
COPY --from=builder /build /app

# distroless不支持USER指令，通过--user参数指定
CMD ["python", "app.py"]

distroless的优势：

极小的攻击面（没有Shell、没有包管理器）
镜像体积最小
自动获取安全更新

distroless的局限：

无法通过 docker exec 进入容器调试
需要额外的调试镜像
某些依赖可能不兼容

.dockerignore：排除无关文件

.dockerignore 文件的作用类似 .gitignore，排除不需要复制到镜像中的文件。

# .dockerignore
.git
.gitignore
.github
.vscode
.idea
__pycache__
*.pyc
*.pyo
.pytest_cache
.mypy_cache
.ruff_cache
htmlcov
coverage
.env
.env.*
*.log
docs/
tests/
*.md
LICENSE
Makefile
docker-compose*.yml
Dockerfile*

效果：

减少构建上下文大小，加快构建速度
避免将敏感信息（.env文件）复制到镜像中
减少镜像层数和体积

虚拟环境隔离技巧

在多阶段构建中，虚拟环境是隔离依赖的关键。

# 使用uv替代pip，安装速度更快
FROM python:3.12-alpine AS builder

WORKDIR /build

RUN apk add --no-cache build-base libffi-dev openssl-dev

# 使用uv安装依赖（比pip快10-100倍）
COPY --from=ghcr.io/astral-sh/uv:latest /uv /usr/local/bin/uv

COPY requirements.txt .
RUN uv venv /opt/venv && \
    . /opt/venv/bin/activate && \
    uv pip install --no-cache -r requirements.txt

构建缓存优化

Docker的层缓存机制可以大幅加快重复构建的速度。

# 优化缓存命中率的Dockerfile
FROM python:3.12-alpine AS builder

WORKDIR /build

# 先复制依赖文件（变化频率低）
COPY requirements.txt .

# 安装依赖（这一层会被缓存）
RUN pip install --no-cache-dir -r requirements.txt

# 再复制源代码（变化频率高）
COPY src/ ./src/

# 最后复制入口文件
COPY app.py .

缓存优化原则：

将变化频率低的层放在前面
将变化频率高的层放在后面
依赖文件单独复制和安装
利用 --cache-from 参数复用缓存

# 构建时使用缓存
docker build --cache-from=myapp:latest -t myapp:latest .

实际对比数据

方案	基础镜像	镜像大小	缩小比例	构建时间
未优化	ubuntu:22.04	~1.2GB	-	~3min
多阶段构建	python:3.12-slim	~350MB	70%	~2min
Alpine	python:3.12-alpine	~120MB	90%	~2.5min
distroless	distroless/python3	~65MB	94.6%	~3min

最佳实践总结

始终使用多阶段构建：构建阶段安装依赖，运行阶段只复制产物
选择合适的基础镜像：Alpine适合大多数场景，distroless适合安全敏感场景
使用.dockerignore：排除无关文件，减小构建上下文
虚拟环境隔离：在构建阶段创建venv，运行阶段直接复制
非root用户：创建专用用户运行应用
优化缓存顺序：低频变化的层在前，高频变化的层在后
使用 --no-cache-dir：避免pip缓存留在镜像中
合并RUN指令：减少镜像层数
定期更新基础镜像：获取安全补丁
使用 .env 文件：敏感配置通过环境变量注入，不要硬编码

通过以上优化，你可以将Docker镜像从GB级别缩小到几十MB，不仅节省存储和带宽成本，还显著提升了部署速度和安全性。

Originally published at WD Tech Blog
More tech articles at wdsega.github.io

DEV Community