多阶段构建如何生成体积最小的生产级微服务镜像

多阶段构建的核心是让最终镜像仅含运行时必需的二进制、配置和依赖库，彻底剥离编译器、源码、测试工具等非运行成分；需选最小化基础镜像（如scratch、alpine或jre-alpine），构建阶段清理临时文件，运行阶段精准COPY产物，并补充非root用户、健康检查等生产加固措施。

多阶段构建本身不是目标，而是手段——关键在于让最终镜像只含运行时必需的二进制、配置和依赖库，彻底剥离编译器、源码、测试工具、文档、缓存等所有非运行成分。

选对基础镜像：运行阶段必须用最小化镜像

构建阶段可以宽松（如 golang:1.21 或 maven:3.9-openjdk-17），但运行阶段必须切换到真正轻量的基础镜像：

1. Go/Rust 静态编译应用：直接用 scratch（0MB）或 distroless/static（2.5MB），前提是不依赖 glibc/musl 外部动态库；
2. 需要 musl 工具链的场景：选 alpine:3.18（5.6MB），注意 Alpine 使用 musl libc，某些 C 扩展或预编译二进制可能不兼容；
3. 需 glibc + shell 调试能力：用 busybox:glibc（4.8MB）或 ubuntu:22.04-minimal（29MB），权衡安全与可观测性；
4. Java 应用：禁用完整 JDK，改用 eclipse-temurin:17-jre-alpine，再进一步用 jlink 定制最小 JRE 模块集，可压至 50MB 以内。

构建阶段要“狠”：删掉一切中间产物

即使用了多阶段，如果构建阶段残留大量临时文件（/tmp、node_modules/.cache、target/*.jar 副本、go/pkg），仍会增大构建上下文体积，间接拖慢整个流程。务必在构建阶段末尾清理干净：

1. Go 项目：RUN CGO_ENABLED=0 go build -a -ldflags '-extldflags "-static"' -o /app/myapp . && rm -rf $GOPATH/pkg；
2. Node.js：RUN npm ci --only=production && npm cache clean --force，避免 npm install 拉全量依赖；
3. Python：RUN pip install --no-cache-dir --no-deps -r requirements.txt，并显式删除 __pycache__ 和 .pyc；
4. 所有语言：在 COPY 前用 .dockerignore 排除 node_modules/、vendor/、.git/、*.log、*.md 等，减少上下文传输量。

运行阶段要“准”：只 COPY 运行所需，不带任何冗余

多阶段的核心价值体现在 COPY --from=builder 这一步——它决定了最终镜像里有什么：

1. 只复制最终二进制或启动脚本，例如：COPY --from=builder /app/myapp /usr/local/bin/myapp；
2. 配置文件单独 COPY，且优先用环境变量注入，避免硬编码敏感信息；
3. 不要 COPY --from=builder /app/ . 整个目录——这会把构建时生成的中间文件一并带入；
4. 若需证书或 CA 包（如访问 HTTPS），用 RUN apk add --no-cache ca-certificates 显式安装，而非从构建阶段拷贝系统证书目录。

补充加固点：权限、用户、健康检查

体积最小 ≠ 生产就绪。微服务还需满足安全与可观测基本要求：

1. 创建非 root 用户：RUN addgroup -g 1001 -f appgroup && adduser -S appuser -u 1001，再 USER appuser；
2. 设置明确工作目录并限制权限：WORKDIR /app && RUN chown appuser:appgroup /app；
3. 添加轻量健康检查：HEALTHCHECK --interval=30s --timeout=3s CMD wget --quiet --tries=1 --spider http://localhost:8080/health || exit 1（Go/Python 可改用 curl -f http://localhost:8080/health）；
4. 避免 EXPOSE 以外的网络暴露，端口由编排层统一管理。