Dockerfile 优化技巧
写Dockerfile就像搭积木，每一层都影响最终镜像的效率和安全性。最容易被忽视的是.dockerignore文件——它能避免把node_modules这类垃圾文件打包进镜像，节省30%以上的构建时间。多阶段构建是另一个神器，比如用builder阶段编译Go程序，最终只保留10MB的二进制文件，而不是带着整个Golang工具链的1GB镜像。
alpine镜像只有5MB，但缺少调试工具；buster-slim约50MB，平衡了大小和功能。生产环境推荐固定版本标签，比如python:3.9-slim而不是python:slimRUN apt-get update && apt-get install -y git必须写在一行，否则会产生冗余缓存层。用&& 分行时注意行尾不能有空格root运行应用，USER nobody可能太严格， 创建专用用户组：RUN groupadd -r appuser && useradd -r -g appuser appuser
USER appuser
容器网络配置实战
当你的微服务需要互相通信时，别急着用link这种过时方案。新建自定义网络docker network create mynet，所有容器加入同一网络后，直接用容器名就能互相访问。测试端口映射时经常遇到0.0.0.0:8080->80/tcp不生效？可能是防火墙没放行，或者宿主机的8080被占用了。
| 网络模式 | 适用场景 | 性能损耗 |
|---|---|---|
| bridge | 单机多容器隔离 | 约10-15% |
| host | 高性能需求 | 接近0 |
| macvlan | 需要真实IP | 5-8% |
CI/CD 集成方案
GitLab Runner的Docker executor比Shell executor安全得多，但要注意/var/run/docker.sock的挂载风险。推荐用docker:dind服务独立运行构建任务，通过privileged=false限制权限。Jenkins的声明式流水线配合Docker插件更直观：
pipeline {
agent { docker { image 'maven:3.8.4' } }
stages {
stage('Build') {
steps {
sh 'mvn clean package'
}
}
}
}
遇到no space left on device错误？定期运行docker system prune -a volumes清理悬空镜像，或者给/var/lib/docker单独挂载500GB以上的磁盘。
生产环境安全加固
OpenSCAP的oscap-docker工具能扫描镜像的CVE漏洞，比单纯看docker scan结果更全面。禁止容器访问宿主机敏感目录，应该这样写：
RUN mount=type=secret,id=aws_creds
echo "AWS_KEY=$(cat /run/secrets/aws_creds)" > .env
内存限制不是万能药，JVM应用需要额外配置-XX:+UseContainerSupport。监控方面，docker stats只能看基础数据，Prometheus的cAdvisor exporter能收集容器内存、CPU、IO的详细指标，配合Grafana展示历史趋势。
在生产环境监控Docker容器，光靠docker stats远远不够。这个命令虽然能实时看到CPU、内存这些基础指标，但既不能保存历史数据，也没法设置告警阈值。更麻烦的是Java这类跑在JVM里的应用，如果不加-XX:+UseContainerSupport参数，JVM会直接读取宿主机的内存总量，导致容器内存限制形同虚设。这时候容器可能因为OOM被Kill掉，但监控数据却显示内存使用率才50%，这种坑我们踩过不止一次。
真正靠谱的方案得用Prometheus全家桶。先把cAdvisor部署到每个Docker主机，它会自动抓取所有容器的CPU、内存、网络IO、磁盘读写等20+种指标，连容器重启次数这种细节都不放过。Prometheus则负责每15-30秒拉取一次数据存到时序数据库，配合Alertmanager还能设置”连续5分钟CPU>90%”这种复杂告警规则。最后用Grafana画Dashboard，把容器指标和业务日志关联起来看，比如当订单服务响应时间超过500ms时，马上能定位到是哪个容器节点的内存满了。这套组合在Kubernetes集群里同样适用，不过要记得给cAdvisor配置RBAC权限。
常见问题解答
为什么我的Docker镜像体积总是很大？
镜像体积过大通常是因为没有使用多阶段构建，或者包含了不必要的依赖文件。 先用docker history 镜像名查看各层大小，然后通过合并RUN指令、清理缓存文件（如apt-get clean）、使用.alpine版本基础镜像来优化。对于Go/Java项目，多阶段构建能减少90%以上的体积。
容器内应用应该用什么用户权限运行？
绝对不要使用root权限，这会导致严重的安全风险。最佳实践是创建专用用户组和用户，比如在Dockerfile中添加RUN groupadd -r appuser && useradd -r -g appuser appuser，然后通过USER appuser切换。如果应用需要特定端口（如80）， 用非特权端口（如8080）再通过Nginx转发。
如何解决Docker构建时的网络超时问题？
国内访问Docker Hub经常出现超时，可以配置镜像加速器。在/etc/docker/daemon.json中添加阿里云或腾讯云镜像地址，例如"registry-mirrors": ["https://xxxx.mirror.aliyuncs.com"]。构建时如果下载包超时， 把apt-get/apt/pip等软件源也替换为国内源。
容器间通信应该用link还是自定义网络？
link已经是过时的方案，官方推荐使用自定义网络。先用docker network create mynet创建网络，启动容器时加入同一网络后，直接通过容器名即可互相访问。自定义网络还支持DNS轮询、网络隔离等高级功能，性能损耗在5-15%之间。
生产环境如何监控Docker容器状态？
单机环境可以用docker stats查看实时数据，集群环境 部署Prometheus+cAdvisor+Grafana组合。cAdvisor会自动采集所有容器的CPU、内存、网络、磁盘指标，Prometheus存储历史数据，Grafana则提供可视化看板。对于Java应用，还需要配置-XX:+UseContainerSupport参数才能正确获取内存限制。
