多个技巧，编写更高效 Dockerfile

大家好，对于使用 Flow 进行云上构建的用户来说，构建速度是大家普遍关心的关键要素，在深入分析用户案例的过程中，我们发现了许多通用问题，只需要修改优化自己的项目或工程配置，就可以大大提升构建的性能，从而进一步加速 CICD 的效率。今天我们会以容器镜像构建作为切入点，总结一些在实际工程中，非常实用的优化技巧。

镜像定义

首先我们先来了解一下 Docker 镜像，它由多个只读层堆叠到一起，每一层是上一层的增量修改。基于镜像创建新容器时，将在基础层的顶部添加一个新的可写层。该层通常称为“容器层”。下图展示了一个基于 docker.io/centos 基础镜像构建的应用镜像，创建出容器时的视图。

镜像来源

镜像主要是 Docker 通过读取、运行 Dockerfile 的指令来生成。举官网上的一个 Dockerfile 例子：

FROM ubuntu:18.04
COPY . /app
RUN make /app
CMD python /app/app.py

它的核心逻辑是定义引用的基础镜像 base image，执行如 COPY 指令从上下文 context 里复制文件到容器中，运行 RUN 执行用户自定义构建脚本，最后定义容器启动的 CMD 或 ENTRYPOINT。构建更高效的镜像也要围绕上述涉及到的概念进行优化。

Dockerfile 优化技巧，使用国内的基础镜像

Flow 作为云上构建产品，每次构建都会给用户提供全新的构建环境，以避免环境污染导致带来过高运维成本。正因为如此，Flow 每次构建都会重新去下载 Dockerfile 中指定的基础镜像。

大镜像除了占用更多的磁盘空间外，在应用部署时也会占用更多的网络消耗，导致更长的服务启动耗时。使用更小的基础镜像，例如使用 alpine 作为 base image。

减少上下文关联目录文件

docker 是 c/s 的架构设计，当用户执行 docker build 时并不是在 client 直接进行构建，而是将 build 指定的目录作为上下文传递到 server 端，再执行上述提到的镜像构建的过程。如果执行镜像构建的上下文中关联大量不必要的文件，那可以使用 .dockerignore 来忽略这些文件（与 .gitignore 类似，定义的文件不会被跟踪、传输）。

减少层的数量、控制层的大小

如果把镜像构建的简单等同为 bash 等脚本指令执行的过程，往往就会踩中镜像层过多，镜像层包含无用文件的坑。

将不变层放到前面，可变层放到后面

当我们在同个时间内多次执行 docker build 可以发现，在构建完一次镜像后再次构建，docker 会利用缓存中的镜像数据直接进行复用。

事实上 Docker 会逐步完成 Dockerfile 中的指令，并按指定的顺序执行每个指令。在检查每条指令时，Docker在其缓存中查找可以重用的现有镜像。Docker 从缓存中已存在的父镜像开始，将下一条指令与从该基本镜像派生的所有子镜像进行比较，以查看其中是否有一条是使用完全相同的指令生成的。否则，缓存将无效。

接着让我们使用多阶段构建和尽量小的 runtime 来优化以上的过程。

FROM golang:1.17.6 AS BUILDER
ADD . /go/src/github.com/golang/example
RUN go build -o /go/src/github.com/golang/example/hello /go/src/github.com/golang/example/hello/hello.go

FROM golang:1.17.6-alpine
WORKDIR /go/src/github.com/golang/example
COPY --from=BUILDER /go/src/github.com/golang/example/hello /go/src/github.com/golang/example/hello
ENTRYPOINT ["/go/src/github.com/golang/example/hello"]

可以看到目前的镜像大小只有 317 MB。通过多阶段构建将应用构建和运行时依赖进行分离，只有将 runtime 依赖的软件会最终打到应用镜像中去。