ตัวสร้าง Dockerfile

ทำไมต้อง multi-stage build

Dockerfile แบบง่ายจะติดตั้งชุดเครื่องมือคอมไพเลอร์ทั้งหมดลงใน image สุดท้าย multi-stage build แบ่งเป็นขั้น “builder” ที่คอมไพล์และขั้นสุดท้ายที่เก็บเฉพาะผลลัพธ์ที่คอมไพล์แล้ว:

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER node
EXPOSE 3000
CMD ["node", "dist/index.js"]

image สุดท้ายจะไม่เหลือ dependencies สำหรับพัฒนา ไฟล์ต้นฉบับ และแคช build ซึ่งมักลดขนาด image ลง 60-80 เปอร์เซ็นต์

รูปแบบ image พื้นฐาน

เทมเพลตใช้ image แบบ slim หรือ alpine เท่าที่เป็นไปได้ หากคุณปรับ image พื้นฐานเอง ตัวเลือกทั่วไปคือ:

กฎแคชของเลเยอร์

Docker แคชทุกบรรทัด เมื่อเลเยอร์หนึ่งเปลี่ยน ทุกอย่างที่อยู่ข้างใต้จะถูก build ใหม่ เรียงจากที่เปลี่ยนน้อยที่สุดไปมากที่สุด:

1. image พื้นฐาน FROM (แทบไม่เปลี่ยน)
2. แพ็กเกจระบบ (apt-get install) เปลี่ยนน้อย
3. ไฟล์ manifest dependencies (package.json, requirements.txt, composer.json)
4. ขั้นติดตั้ง dependencies รันเฉพาะเมื่อ manifest เปลี่ยน
5. การคัดลอกโค้ดต้นฉบับ เลเยอร์ที่ยุ่งที่สุด ทุกอย่างหลังจากนี้ถูก build ใหม่ทุก commit
6. การคอมไพล์และ CMD สุดท้าย

การสลับลำดับนี้เป็นสาเหตุที่พบบ่อยที่สุดของ build CI ที่ช้า

รายการตรวจสอบความปลอดภัย

• รันแบบไม่ใช้ root ใส่ USER appuser (หรือ USER 1000) ใกล้ตอนท้าย
• ระบุเวอร์ชันให้ชัด python:3.12.7-slim ดีกว่า python:3.12 ซึ่งดีกว่า python:latest
• กำหนด WORKDIR อย่างชัดเจน แทนการพึ่งพา /
• ใช้ COPY ไม่ใช่ ADD สำหรับไฟล์ในเครื่อง เพราะ ADD มีผลข้างเคียงการแตกไฟล์อัตโนมัติ
• เพิ่ม HEALTHCHECK เพื่อให้ออร์เคสเตรเตอร์ตรวจจับกระบวนการที่ค้างได้
• ล้างแคชแพ็กเกจในบรรทัด RUN เดียวกัน: apt-get install ... && rm -rf /var/lib/apt/lists/*