Docker 镜像构建环境隔离如何做

核心是通过多阶段构建实现环境隔离：第一阶段用含工具链的镜像编译，第二阶段用轻量镜像仅运行产物；ARG用于动态传参且不残留镜像中；.dockerignore精简上下文，避免污染。

核心是让构建过程不依赖宿主机状态，也不污染本地工作树。关键不在“装什么”，而在“怎么隔离”。

用多阶段构建分离编译与运行环境

构建工具（如 Go 编译器、Node.js、Python pip）只出现在构建阶段，最终镜像里完全不带它们。

1. 第一阶段用 golang:1.21 或 node:20-alpine 完成编译或打包
2. 第二阶段用 alpine:latest 或 scratch 启动服务，仅 COPY 编译产物
3. 避免在最终镜像中残留源码、dev 依赖、调试工具等无关内容

构建上下文要精简，别把整个工作树拖进去

Docker 构建时默认把当前目录（包括 .git、node_modules、dist 等）全复制进构建上下文，容易带入脏数据。

1. 用 .dockerignore 显式排除不需要的文件和目录
2. 推荐至少忽略：.git、**/node_modules、**/__pycache__、dist、build、.env
3. 必要时改用 git archive 导出干净源码再构建，彻底绕过本地工作树

用 ARG 控制构建参数，避免硬编码环境细节

构建行为应能随环境动态调整，而不是靠改 Dockerfile。

1. 用 ARG NODE_VERSION=18、ARG BUILD_ENV=prod 声明可变参数
2. 构建时通过 --build-arg NODE_VERSION=20 注入 CI 流水线中的版本号或分支名
3. 注意：ARG 只在构建阶段生效，不会留在镜像里，比 ENV 更安全

容器内操作 Git，不碰宿主机工作树

CI 流水线里不要在宿主机上 git clone + docker build，而应在容器里完成检出。

1. Dockerfile 中用 RUN git clone --depth 1 -b $TAG https://xxx.git /app（配合 ARG 传入 tag）
2. 或更稳妥地，在 CI 脚本中先用 git archive 打包，再 docker build -f Dockerfile --target=build .
3. 确保每次构建都在空白文件系统中进行，不受本地 untracked 文件、临时配置影响