Dockerfile 核心编写规范与实战指南

在容器化工程中，Dockerfile 的核心定位是环境的法律。它用精简、固化的指令，在一张白纸上把运行环境一锤子定音地砸出来。不要把容器当成虚拟机来随意配置，而要用它来固化生产环境。

一、 最常用的核心指令

编写 Dockerfile 时，最核心且高频使用的只有以下 4 个基础指令（在文件中必须全部大写）：

1. FROM (确立底座)

• 功能描述：告诉 Docker 你的环境要基于哪一个官方基础镜像开始构建。
• 严格语法：FROM 镜像名:版本号
• 实战代入：FROM docker.1ms.run/library/python:3.11-slim，即指定以 Python 3.11 的精简版（slim）作为最底层的地基。

2. WORKDIR (锁定房间)

• 功能描述：在容器内部创建一个绝对路径文件夹，并将后续所有的操作终端默认切换到这个文件夹里（等同于 Linux 中的 cd 命令）。
• 严格语法：WORKDIR /绝对路径
• 实战代入：WORKDIR /app。后续不管是安装依赖还是运行脚本，默认都在容器内的 /app 目录下进行。

3. ENV (配置环境变量)

• 功能描述：给容器设置全局的系统变量，例如时区、语言、字符集或运行模式。
• 严格语法：ENV 变量名=变量值
• 实战代入：ENV TZ=Asia/Shanghai，强制将容器内部的系统时区固化为中国标准时间，防止自动化脚本的定时任务和日志时间错乱。

4. RUN (执行安装命令)

• 功能描述：在镜像构建阶段（即在执行 docker build 时）运行的 Linux Shell 命令。通常用来更新系统软件、安装各种特定工具以及下载第三方依赖包。
• 严格语法：RUN 具体的Linux命令
• 实战代入：RUN pip install ...。

二、 生产级 Python 环境 Dockerfile 模板

以下是一个无冗余、专为国内网络环境优化的 Python 3.11 生产级 Dockerfile。你可以直接以此为模板进行修改：

Dockerfile

# 第一步：引入底座（使用国内代理源前缀，防止联网超时报错）
FROM docker.1ms.run/library/python:3.11-slim

# 第二步：设定工作目录，后续的所有命令和文件都会在这个目录下执行
WORKDIR /app

# 第三步：配置全局系统环境变量
ENV TZ=Asia/Shanghai
ENV PYTHONUNBUFFERED=1

# 第四步：执行安装命令
# 使用反斜杠进行多行换行排列，确保依赖列表清晰整洁
# 使用 --no-cache-dir 参数清理缓存，强制指定清华大学国内源提高速度
RUN pip install --no-cache-dir -i https://pypi.tuna.tsinghua.edu.cn/simple \
    requests \
    urllib3 \
    beautifulsoup4 \
    pycryptodome \
    pymysql

# 第五步：设定默认的启动程序（若在 Docker Compose 中写了 command，此行会被覆盖）
CMD ["python3"]

三、 高阶工程师的避坑铁律

1. 镜像的层级缓存机制 (Layer Caching)

Docker 在构建镜像时是非常智能的，每一行独立的指令都会在后台生成独立的一层（Layer）。

• 缓存命中：如果你只修改了 Dockerfile 的最后一行，Docker 在重新构建时，前面的几行会直接使用本地缓存，一秒钟即可完成构建。
• 缓存失效：如果你把经常需要变动的指令（例如拷贝本地代码）写在了文件最上面，一旦这一行发生变化，它下面所有层级的缓存都会强制失效，导致原本不需要变动的依赖库（如 RUN pip install）必须全部重新下载安装。
• 正确大局观：永远把最稳定、最不容易变动的指令（如 FROM, ENV, RUN pip）写在文件最上面；把可能发生变动的指令写在文件的最下方。

2. 严格区分 RUN 和 CMD 的本质区别

• RUN（构建期执行）：是在你执行构建镜像命令（docker build）时在后台跑的。它执行完后，安装好的依赖库和软件就死死地焊在镜像的硬盘底座里了。
• CMD（运行期执行）：是在你真正启动容器（docker run / 容器开机）那一瞬间才执行的。它代表容器开机后默认要干的第一件事。

3. 为什么安装依赖时必须带上 --no-cache-dir 参数？

如果你直接编写 RUN pip install requests，pip 会在下载并安装成功后，在容器内部保留一份安装包的缓存备份。这在传统的物理机上无所谓，但在容器世界里，这会导致你的镜像平白无故变大几十兆的臃肿体积。

• 最佳实践：必须带上 --no-cache-dir 选项，卸磨杀驴，装完依赖立刻把安装包彻底清除，保持镜像的绝对纯净与轻量。