Docker多階段建置最佳化：從映像檔瘦身到安全加固的7個關鍵策略
DevOps
你的Docker映像檔1.2GB，部署一次要5分鐘
你寫了個Hello World的Go服務，Docker映像檔竟然800MB；你加了Python依賴，映像檔直接飆到2GB；CI/CD建置一次要8分鐘，其中6分鐘在下載依賴。2026年，Docker多階段建置 配合BuildKit、distroless映像檔和安全掃描，能讓你的映像檔從GB級降到MB級，建置時間從分鐘級降到秒級。
本文將從多階段建置原理出發，帶你完成7個關鍵最佳化策略，從映像檔瘦身到安全加固，從開發到生產全鏈路實戰。
Docker多階段建置核心概念
| 概念 | 說明 |
|---|---|
| 多階段建置（Multi-stage Build） | 在一個Dockerfile中定義多個FROM階段，只複製最終產物到執行映像檔 |
| 建置階段（Build Stage） | 包含編譯工具鏈的階段，產出二進位檔案或建置產物 |
| 執行階段（Runtime Stage） | 僅包含執行時依賴的精簡映像檔 |
| 層快取（Layer Cache） | Docker映像檔的每一層可被快取，未變化的層復用快取 |
| BuildKit | Docker新一代建置引擎，支援平行建置、快取匯入匯出 |
| distroless | Google推出的無發行版基礎映像檔，僅包含應用程式執行時 |
| COPY --from | 從指定階段複製檔案的指令，多階段建置的核心 |
多階段建置流程
傳統建置：
原始碼 → 安裝編譯工具 → 編譯 → 安裝執行時 → 打包 → 映像檔(2GB+)
所有編譯工具和中間產物都留在映像檔中
多階段建置：
Stage 1 (builder): 原始碼 → 安裝編譯工具 → 編譯 → 產出二進位
Stage 2 (runtime): 從Stage 1複製二進位 → 僅執行時依賴 → 映像檔(20MB)
編譯工具和中間產物被丟棄
問題分析：Docker映像檔最佳化的5大挑戰
- 映像檔體積膨脹：基礎映像檔過大、編譯工具殘留、依賴冗餘導致映像檔GB級
- 建置速度慢：層快取失效、依賴重複下載、串行建置導致CI/CD耗時過長
- 安全漏洞：基礎映像檔包含大量CVE、執行時包含不必要的系統工具被攻擊者利用
- 環境一致性：開發/測試/生產環境映像檔不一致，「在我機器上能跑」問題
- 建置可維護性：Dockerfile過長、邏輯混亂、難以理解和維護
分步實作：7個關鍵最佳化策略
策略1：多階段建置基礎——Go應用
FROM golang:1.22-bookworm AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 \
go build -ldflags="-s -w" -o /app/server ./cmd/server
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /app/server /server
EXPOSE 8080
USER nonroot:nonroot
ENTRYPOINT ["/server"]
策略2：多階段建置——Node.js應用
FROM node:20-bookworm-slim AS base
WORKDIR /app
RUN corepack enable
FROM base AS deps
COPY package.json pnpm-lock.yaml ./
RUN pnpm install --frozen-lockfile
FROM base AS builder
COPY --from=deps /app/node_modules ./node_modules
COPY . .
RUN pnpm build
FROM base AS runner
ENV NODE_ENV=production
RUN addgroup --system --gid 1001 nodejs && \
adduser --system --uid 1001 appuser
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
COPY --from=builder /app/package.json ./
USER appuser
EXPOSE 3000
CMD ["node", "dist/index.js"]
策略3：多階段建置——Python應用
FROM python:3.12-bookworm AS builder
WORKDIR /app
RUN pip install --no-cache-dir poetry
COPY pyproject.toml poetry.lock ./
RUN poetry config virtualenvs.in-project true && \
poetry install --no-dev --no-interaction --no-ansi
FROM python:3.12-slim-bookworm AS runtime
RUN groupadd -r appuser && useradd -r -g appuser appuser
WORKDIR /app
COPY --from=builder /app/.venv .venv
COPY . .
ENV PATH="/app/.venv/bin:$PATH"
ENV PYTHONUNBUFFERED=1
USER appuser
EXPOSE 8000
CMD ["uvicorn", "main:app", "--host", "0.0.0.0", "--port", "8000"]
策略4：層快取最佳化
FROM node:20-bookworm-slim AS builder
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY tsconfig.json ./
COPY src/ ./src/
RUN npm run build
FROM node:20-bookworm-slim
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci --omit=dev
COPY --from=builder /app/dist ./dist
USER node
EXPOSE 3000
CMD ["node", "dist/index.js"]
策略5：BuildKit快取掛載
# syntax=docker/dockerfile:1
FROM golang:1.22-bookworm AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN --mount=type=cache,target=/go/pkg/mod \
go mod download
COPY . .
RUN --mount=type=cache,target=/go/pkg/mod \
--mount=type=cache,target=/root/.cache/go-build \
CGO_ENABLED=0 GOOS=linux GOARCH=amd64 \
go build -ldflags="-s -w" -o /app/server ./cmd/server
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /app/server /server
EXPOSE 8080
USER nonroot:nonroot
ENTRYPOINT ["/server"]
策略6：安全加固——Trivy掃描 + 最小權限
FROM python:3.12-slim-bookworm AS builder
WORKDIR /app
COPY requirements.txt ./
RUN pip install --no-cache-dir --user -r requirements.txt
FROM python:3.12-slim-bookworm
RUN apt-get update && \
apt-get install -y --no-install-recommends dumb-init && \
apt-get clean && rm -rf /var/lib/apt/lists/*
RUN groupadd -r appuser && useradd -r -g appuser -s /sbin/nologin appuser
WORKDIR /app
COPY --from=builder /root/.local/lib/python3.12/site-packages /usr/local/lib/python3.12/site-packages
COPY . .
RUN chmod -R 555 /app && \
chmod -R 444 /app/*.py
USER appuser
EXPOSE 8000
ENTRYPOINT ["dumb-init", "--"]
CMD ["uvicorn", "main:app", "--host", "0.0.0.0", "--port", "8000"]
策略7：distroless + 多架構建置
FROM --platform=$BUILDPLATFORM golang:1.22-bookworm AS builder
ARG TARGETPLATFORM
ARG BUILDPLATFORM
ARG TARGETOS
ARG TARGETARCH
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOOS=${TARGETOS} GOARCH=${TARGETARCH} \
go build -ldflags="-s -w" -o /app/server ./cmd/server
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=builder /app/server /server
EXPOSE 8080
USER nonroot:nonroot
ENTRYPOINT ["/server"]
避坑指南
坑1：把所有檔案COPY到建置階段
# ❌ 錯誤：COPY . .放在RUN之前，任何檔案變化都導致快取失效
COPY . .
RUN npm ci
# ✅ 正確：先複製依賴檔案，再複製原始碼
COPY package.json package-lock.json ./
RUN npm ci
COPY . .
坑2：用latest標籤作為基礎映像檔
# ❌ 錯誤：latest標籤不可復現，不同時間建置結果可能不同
FROM node:latest
# ✅ 正確：使用明確的版本號和發行版
FROM node:20.11.0-bookworm-slim
坑3：多階段建置忘記COPY --from
# ❌ 錯誤：在執行階段重新安裝編譯工具
FROM python:3.12-slim
RUN pip install build-tools
COPY . .
RUN python -m build
# ✅ 正確：在建置階段編譯，執行階段只複製產物
FROM python:3.12 AS builder
COPY . .
RUN pip install --user -r requirements.txt
FROM python:3.12-slim
COPY --from=builder /root/.local /root/.local
坑4：以root使用者執行容器
# ❌ 錯誤：預設以root執行，容器逃逸後攻擊者獲得root權限
FROM node:20-slim
COPY . .
CMD ["node", "index.js"]
# ✅ 正確：建立非root使用者並切換
FROM node:20-slim
RUN groupadd -r appuser && useradd -r -g appuser appuser
COPY . .
USER appuser
CMD ["node", "index.js"]
坑5：忘記清理apt/pip快取
# ❌ 錯誤：快取留在映像檔層中，即使後續刪除也會增加映像檔體積
RUN apt-get update && apt-get install -y curl
RUN pip install requests
# ✅ 正確：在同一RUN指令中安裝和清理
RUN apt-get update && \
apt-get install -y --no-install-recommends curl && \
apt-get clean && rm -rf /var/lib/apt/lists/*
RUN pip install --no-cache-dir requests
報錯排查
| 序號 | 報錯訊息 | 原因 | 解決方法 |
|---|---|---|---|
| 1 | COPY failed: file not found in build context |
COPY路徑錯誤或檔案不存在 | 檢查.dockerignore和檔案路徑 |
| 2 | executor failed running [/bin/sh -c ...] |
RUN命令執行失敗 | 檢查依賴版本、網路連線、命令語法 |
| 3 | no matching manifest for linux/arm64 |
基礎映像檔不支援目標架構 | 使用--platform或選擇支援多架構的基礎映像檔 |
| 4 | OOM killed during build |
建置過程記憶體不足 | 增加Docker記憶體限制，最佳化建置步驟 |
| 5 | denied: requested access to the resource is denied |
推送映像檔到倉庫無權限 | 檢查docker login和倉庫權限 |
| 6 | max depth exceeded |
Dockerfile指令層級過深 | 簡化Dockerfile，減少巢狀 |
| 7 | failed to solve: failed to compute cache key |
BuildKit快取計算失敗 | 檢查--mount=type=cache目標路徑 |
| 8 | user not found |
distroless映像檔無shell和使用者管理工具 | 在前一個階段建立使用者，或使用nonroot變體 |
| 9 | signal: killed |
建置過程被系統OOM Killer終止 | 增加swap或Docker記憶體限制 |
| 10 | multiple platforms feature is currently not supported |
builder實例不支援多架構 | 使用docker buildx create建立支援多架構的builder |
進階最佳化
1. 映像檔體積對比分析腳本
#!/bin/bash
echo "=== Docker Image Size Comparison ==="
images=(
"myapp:before-optimization"
"myapp:after-multistage"
"myapp:after-distroless"
)
for img in "${images[@]}"; do
if docker image inspect "$img" > /dev/null 2>&1; then
size=$(docker image inspect "$img" --format='{{.Size}}')
size_mb=$(echo "scale=2; $size / 1024 / 1024" | bc)
layers=$(docker image inspect "$img" --format='{{len .RootFS.Layers}}')
echo "$img: ${size_mb}MB (${layers} layers)"
else
echo "$img: not found"
fi
done
echo ""
echo "=== Layer Details (smallest image) ==="
docker history myapp:after-distroless --format "table {{.CreatedBy}}\t{{.Size}}" --no-trunc
2. Docker Compose多階段開發/生產設定
services:
app-dev:
build:
context: .
target: builder
dockerfile: Dockerfile
volumes:
- .:/app
- /app/node_modules
ports:
- "3000:3000"
environment:
- NODE_ENV=development
command: npm run dev
app-prod:
build:
context: .
target: runner
dockerfile: Dockerfile
cache_from:
- myregistry/myapp:cache
ports:
- "3000:3000"
environment:
- NODE_ENV=production
restart: unless-stopped
healthcheck:
test: ["CMD", "wget", "--no-verbose", "--tries=1", "--spider", "http://localhost:3000/health"]
interval: 30s
timeout: 5s
retries: 3
3. CI/CD映像檔建置最佳化Pipeline
name: Build and Push
on:
push:
branches: [main]
env:
REGISTRY: ghcr.io
IMAGE_NAME: ${{ github.repository }}
jobs:
build:
runs-on: ubuntu-latest
permissions:
contents: read
packages: write
steps:
- uses: actions/checkout@v4
- name: Set up Docker Buildx
uses: docker/setup-buildx-action@v3
- name: Login to Container Registry
uses: docker/login-action@v3
with:
registry: ${{ env.REGISTRY }}
username: ${{ github.actor }}
password: ${{ secrets.GITHUB_TOKEN }}
- name: Extract metadata
id: meta
uses: docker/metadata-action@v5
with:
images: ${{ env.REGISTRY }}/${{ env.IMAGE_NAME }}
tags: |
type=sha,prefix=
type=ref,event=branch
- name: Build and push
uses: docker/build-push-action@v5
with:
context: .
push: true
tags: ${{ steps.meta.outputs.tags }}
labels: ${{ steps.meta.outputs.labels }}
cache-from: type=gha
cache-to: type=gha,mode=max
platforms: linux/amd64,linux/arm64
build-args: |
BUILD_DATE=${{ github.event.head_commit.timestamp }}
VCS_REF=${{ github.sha }}
對比分析
| 維度 | 單階段建置 | 多階段建置 | 多階段+distroless | 多階段+Alpine | Scratch |
|---|---|---|---|---|---|
| Go映像檔體積 | ~800MB | ~20MB | ~2MB | ~8MB | ~1.5MB |
| Node映像檔體積 | ~1.2GB | ~200MB | N/A | ~120MB | N/A |
| Python映像檔體積 | ~1.5GB | ~150MB | ~50MB | ~80MB | N/A |
| 安全漏洞數 | 高(200+) | 中(50+) | 低(<5) | 中(30+) | 最低(0) |
| 除錯能力 | ✅完整 | ✅好 | ❌無shell | ⚠️有限 | ❌無 |
| 建置複雜度 | 低 | 中 | 中 | 中 | 高 |
| 相容性 | ✅ | ✅ | ⚠️CGO限制 | ⚠️musl相容 | ❌靜態編譯 |
總結：Docker多階段建置是映像檔最佳化的基石——將編譯和執行分離，只保留最終產物。7個關鍵策略層層遞進：1）多階段建置基礎，2）語言特定最佳化，3）Python虛擬環境，4）層快取排序，5）BuildKit快取掛載，6）安全加固+Trivy掃描，7）distroless+多架構。生產環境推薦：Go用distroless/static，Node用slim+非root，Python用slim+虛擬環境。關鍵原則：最小基礎映像檔→最小權限→最小攻擊面。
線上工具推薦
- Base64編解碼：/zh-TW/encode/base64
- Hash計算：/zh-TW/encode/hash
- JSON格式化：/zh-TW/json/format
本站提供瀏覽器本地工具，免註冊即可試用 →
#Docker#多阶段构建#镜像优化#安全加固#BuildKit#2026#DevOps