容器化 Node.js 應用的最佳實踐

在現代雲端原生架構中，將 Node.js 應用容器化已成為標準作業流程。然而，許多開發者僅將應用「丟進」容器，卻忽略了效能、安全性與資源管理的關鍵細節。本文將引導中階 Linux 使用者，透過多階段建構（Multi-stage Build）與非根使用者等最佳實踐，打造輕量且安全的生產環境容器映像檔。

1. 建立基礎結構

首先，我們需要一個標準的 Node.js 專案結構。假設我們有一個簡單的 Express 應用，目錄結構如下：

my-node-app/
├── package.json
├── src/
│   └── index.js
└── Dockerfile

確保 package.json 已正確設定依賴，且 src/index.js 為啟動入口。接下來，核心在於撰寫高效的 Dockerfile。

2. 撰寫高效能的 Dockerfile

為了優化映像檔大小與啟動速度，我們採用 Node.js 官方提供的 Alpine 基礎映像，並結合多階段建構技術。Alpine Linux 極其輕量，適合生產環境。

# 第一階段：建構階段
FROM node:18-alpine AS builder

# 設定工作目錄
WORKDIR /app

# 先複製 package.json 和 package-lock.json，利用 Docker 快取機制加速後續建置
COPY package*.json ./

# 安裝所有依賴（包含開發依賴，若需壓縮程式碼）
RUN npm ci

# 複製原始碼
COPY . .

# 若需編譯 TypeScript 或壓縮靜態資源，在此階段執行
# RUN npm run build

# 第二階段：生產階段
FROM node:18-alpine AS production

# 建立非 root 使用者以提升安全性
RUN addgroup -g 1001 -S nodejs && \
    adduser -S nodejs -u 1001

# 設定工作目錄
WORKDIR /app

# 僅複製建構好的節點模組與程式碼
COPY --from=builder /app/node_modules ./node_modules
COPY --from=builder /app/src ./src
COPY --from=builder /app/package*.json ./

# 切換至非 root 使用者
USER nodejs

# 暴露埠號
EXPOSE 3000

# 啟動應用
CMD ["node", "src/index.js"]

關鍵解析：

npm ci 取代 npm install：npm ci 會根據 package-lock.json 精確安裝依賴，並刪除現有的 node_modules，確保環境一致且速度更快。
多階段建構：第一階段負責安裝依賴與編譯，第二階段僅包含執行所需的檔案。這大幅減少了最終映像檔的大小，移除了編譯工具與原始碼，降低攻擊表面。
非根使用者：預設情況下，容器以 root 身份運行。若容器被入侵，攻擊者可能獲得宿主機的 root 權限。透過 USER nodejs 切換至低權限使用者，是基本的安全防護。

3. 建置與測試

在專案根目錄執行以下指令：

# 建置映像檔
docker build -t my-node-app:latest .

# 運行容器
docker run -d -p 3000:3000 --name my-app-container my-node-app:latest

# 檢查容器狀態
docker ps

# 測試 API（假設 Express 監聽 3000 埠）
curl http://localhost:3000/health

常見問題

Q1: 為什麼不直接使用 node:latest 作為基礎映像？

node:latest 通常指向最新的 LTS 版本，但其體積較大（基於 Debian 或 Ubuntu），且可能包含不必要的開發工具。對於生產環境，建議明確指定版本（如 node:18-alpine），以確保可重現性並減少映像檔大小。Alpine 基於 musl libc，若你的應用依賴原生 C++ 模組（如 node-gyp），可能需要改用 node:18-bookworm 以避免相容性問題。

Q2: 容器內時區錯誤該如何處理？

Alpine Linux 預設時區為 UTC。若應用需要特定時區（如 Asia/Taipei），可在 Dockerfile 中安裝 tzdata 並設定環境變數：

RUN apk add --no-cache tzdata
ENV TZ=Asia/Taipei

小結

容器化 Node.js 應用不僅是將程式碼打包，更涉及效能優化與安全加固。透過多階段建構縮減映像檔大小、使用 npm ci 確保依賴一致性，以及強制使用非根使用者運行，您可以建立出更穩定、安全且高效的生產環境。這些最佳實踐雖增加了一些設定複雜度，但長期來看，能顯著降低運維成本與安全風險。