# Dockerfile语法详解：从基础指令到docker build实践
Docker镜像的构建过程本质上是一个自动化制作用于容器运行环境的过程。Dockerfile作为构建蓝图，通过一系列指令定义镜像的内容和启动行为。理解每条指令的语义及其组合方式，是构建高效、可靠容器镜像的基础。
## Dockerfile的核心指令解析
Dockerfile采用声明式语法，每条指令都会在镜像中创建一个新层。合理使用这些指令，能够精确控制镜像的构成。
FROM指令是所有Dockerfile的起点，指定基础镜像。选择合适的基础镜像对最终镜像的体积和安全性有直接影响：
```dockerfile
FROM ubuntu:20.04 # 完整Ubuntu系统，约200MB
FROM python:3.9-slim # 精简版Python环境，约150MB
FROM alpine:3.16 # 极小基础镜像，约5MB
```
LABEL指令添加元数据，用于描述镜像的作者、版本、用途等信息：
```dockerfile
LABEL maintainer="dev@example.com"
LABEL version="1.2.3"
LABEL description="Web应用后端服务"
```
COPY与ADD指令都将文件从构建上下文复制到镜像中，但ADD额外支持远程URL和自动解压tar包。出于透明性考虑，官方建议优先使用COPY：
```dockerfile
COPY requirements.txt /app/
COPY --chown=appuser:appgroup src/ /app/src/
ADD https://example.com/file.tar.gz /tmp/ # ADD支持远程URL
ADD app.tar.gz /app/ # ADD自动解压
```
RUN指令在构建时执行命令，通常用于安装软件包、编译代码或设置环境。多条RUN指令应当适当合并以减少层数：
```dockerfile
RUN apt-get update && \
apt-get install -y gcc make && \
rm -rf /var/lib/apt/lists/*
```
WORKDIR设置工作目录，相当于执行cd命令。后续的RUN、CMD、ENTRYPOINT都会在该目录下执行：
```dockerfile
WORKDIR /app
<"r1.p5k3.org.cn"><"k8.p5k3.org.cn"><"p0.p5k3.org.cn">
```
ENV设置环境变量，这些变量在构建过程和容器运行时均有效：
```dockerfile
ENV NODE_ENV=production
ENV PATH=/app/node_modules/.bin:$PATH
```
EXPOSE声明容器监听的端口，主要用于文档化和容器间通信：
```dockerfile
EXPOSE 3000
EXPOSE 443
```
## CMD与ENTRYPOINT的协作机制
CMD提供容器启动时的默认命令，可以被docker run命令行参数覆盖。ENTRYPOINT设置固定的启动命令，其参数可由CMD提供默认值。两者配合可以实现灵活且稳定的容器入口。
```dockerfile
# 固定命令 + 默认参数模式
ENTRYPOINT ["python"]
CMD ["app.py"]
# 构建为可执行容器后：
docker run myimage # 执行 python app.py
docker run myimage test.py # 执行 python test.py
```
对于需要作为独立命令的镜像，建议只使用ENTRYPOINT设置主程序，配合exec格式确保信号正确传递：
```dockerfile
ENTRYPOINT ["/usr/bin/myapp"]
```
## docker build命令详解
docker build是构建镜像的命令行工具，常用参数控制构建过程：
```bash
# 基本用法，构建上下文为当前目录
docker build -t myapp:1.0 .
# 指定Dockerfile路径
docker build -f docker/Dockerfile.prod -t myapp:prod .
# 设置构建参数
docker build --build-arg VERSION=2.1 -t myapp:2.1 .
# 不使用缓存强制重新构建
docker build --no-cache -t myapp:latest .
# 指定目标阶段（多阶段构建时）
docker build --target builder -t myapp-builder:latest .
```
构建上下文是docker build命令执行时指定的目录路径，Docker客户端会将整个目录打包发送给守护进程。因此通过.dockerignore文件排除不必要的文件至关重要：
```
# .dockerignore
node_modules
.git
*.log
Dockerfile
.dockerignore
README.md
```
## 多阶段构建精简镜像
多阶段构建允许在一个Dockerfile中使用多个FROM指令，每个阶段都可以基于不同的基础镜像，最终只将必要的产物复制到最终镜像中。
以Go应用为例，编译环境和运行环境分离：
```dockerfile
# 构建阶段
FROM golang:1.19 AS builder
WORKDIR /build
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux go build -o myapp .
# 运行阶段
FROM alpine:3.16
RUN apk --no-cache add ca-certificates
WORKDIR /app
COPY --from=builder /build/myapp .
EXPOSE 8080
CMD ["./myapp"]
```
最终镜像仅包含alpine基础环境和编译好的二进制文件，从近800MB缩减到约15MB。对于Node.js应用，可以分离依赖安装和源码构建：
```dockerfile
# 依赖安装阶段
FROM node:14 AS deps
WORKDIR /app
COPY package*.json ./
RUN npm ci -->
# 源码构建阶段
FROM node:14 AS builder
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .
RUN npm run build
<"m4.p5k3.org.cn"><"a6.p5k3.org.cn"><"d3.p5k3.org.cn">
# 运行阶段
FROM node:14-slim
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=deps /app/node_modules ./node_modules
EXPOSE 3000
CMD ["node", "dist/server.js"]
```
## 层缓存优化策略
Docker在构建时会尽可能复用已有缓存层，但一旦某层发生变化，该层及之后的所有层都会重新构建。基于这一特性，应当将变动频率低的指令放在前面：
```dockerfile
# 优化前：每次修改源码都需重新安装依赖
COPY . /app
RUN npm install
# 优化后：仅当package.json变化时才重新安装依赖
COPY package*.json /app/
RUN npm install
COPY . /app/
```
对于apt安装的软件包，建议合并更新、安装和清理操作，避免缓存过大的中间层：
```dockerfile
RUN apt-get update && \
apt-get install -y \
package1 \
package2 && \
apt-get clean && \
rm -rf /var/lib/apt/lists/*
```
## 构建与运行的最佳实践
将上述知识点综合应用，可以构建出既高效又安全的镜像。总结几条关键原则：选择合适的基础镜像版本标签而非latest；使用非root用户运行应用；通过.dockerignore减小构建上下文；合理组织指令顺序最大化缓存利用；多阶段构建分离环境；明确区分CMD与ENTRYPOINT的职责。
从基础指令到构建参数，从缓存优化到多阶段构建，Dockerfile提供了完整的镜像定义能力。掌握这些要素后，开发者能够精确控制镜像内容和构建过程，为应用的可靠交付提供保障。