Docker 映像檔最小化的實踐方法

在容器化運作的領域中，我們常聽到一句名言：「小即是美」（Small is Beautiful）。不僅僅是為了節省磁碟空間，更因為較小的映像檔意味著更快的拉取速度、更少的網路頻寬消耗，以及最關鍵的——更小的攻擊面。當你的 Docker 映像檔只包含應用程式執行所需的最小依賴時，潛在的安全漏洞數量也會隨之減少。

今天，我們將探討如何在 Ubuntu 22.04 或 Debian 12 環境中，透過具體的 Dockerfile 優化技巧，將你的映像檔體積極大地縮減。

1. 選擇合適的基礎映像檔

優化第一步是選擇正確的基礎映像檔。許多新手習慣使用 ubuntu:22.04 或 debian:bookworm-slim 作為起點，但對於純應用程式來說，這往往過於龐大。

避免全量 Linux 發行版：除非你需要完整的套件管理員（如 apt）在執行階段運作，否則應避免使用標準的 Ubuntu 或 Debian 映像檔，它們可能高達 70MB 以上。
使用 Alpine Linux：Alpine 是一個基於 musl libc 和 busybox 的輕量級發行版，基礎映像檔僅約 5MB。它是追求極致輕量化的首選。
使用 Distroless 或 Slim 版本：Google 提供的 Distroless 映像檔僅包含應用程式及其依賴庫，不含 shell 或套件管理員，安全性極高。若需要除錯能力，可選擇 debian:bookworm-slim，它移除了不必要的文檔和工具，體積大幅縮小。

2. 善用多階段建構（Multi-stage Builds）

多階段建構是 Docker 優化中最強大的工具之一。它的核心概念是：在最終映像檔中，只保留編譯或打包後的結果，而丟棄所有建構工具、編譯器和中間依賴。

假設我們有一個 Go 語言應用程式，傳統做法會將整個 Go 編譯環境打包進映像檔。透過多階段建構，我們可以這樣寫：

# 第一階段：建構階段
FROM golang:1.21-alpine AS builder

WORKDIR /app

# 複製 go.mod 和 go.sum 以利用快取機制
COPY go.mod go.sum ./
RUN go mod download

# 複製原始碼
COPY . .

# 編譯應用程式並進行靜態連結
RUN CGO_ENABLED=0 GOOS=linux go build -o myapp .

# 第二階段：執行階段
FROM alpine:latest

# 建立非 root 使用者以增強安全性
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

WORKDIR /app

# 僅從第一階段複製編譯好的執行檔
COPY --from=builder /app/myapp .

# 切換至非 root 使用者
USER appuser

# 暴露埠號
EXPOSE 8080

# 執行應用程式
CMD ["./myapp"]

在這個範例中，最終的映像檔僅包含 Alpine 基礎系統、必要的動態連結庫（若有）以及 myapp 執行檔，完全移除了 Go 編譯器，體積可從數百 MB 縮減至 10-20 MB 左右。

3. 優化 Dockerfile 指令與層級快取

除了選擇基礎映像檔，撰寫 Dockerfile 的技巧也至關重要。

合併 RUN 指令：每一層 RUN 指令都會產生一個新的映像檔層。盡量將相關的 RUN 指令合併，並在最後清理暫存檔案。例如：
```
RUN apt-get update && apt-get install -y \
    libssl-dev \
    libffi-dev \
    && rm -rf /var/lib/apt/lists/*
```
注意最後的 rm -rf /var/lib/apt/lists/*，這能清除 apt 的快取，避免這些暫存檔案被保留在映像檔層中。
利用 .dockerignore：建立 .dockerignore 檔案，排除不需要傳送到 Docker daemon 的檔案，如 node_modules、.git 目錄或 IDE 設定檔。這不僅加快建構速度，也防止敏感資訊泄露。

常見問題

Q1: 使用 Alpine 會遇到什麼問題？ A: Alpine 使用 musl libc 而非 glibc。許多基於 C/C++ 的套件或 Python 擴展模組可能預設針對 glibc 編譯，在 Alpine 上會無法運行或需要額外編譯。解決方法是確認所有依賴都支援 musl，或考慮使用 debian:bookworm-slim 作為平衡點。

Q2: 如何確認映像檔確實變小了？ A: 使用 docker images 查看體積，或使用 docker history <image_name> 查看每一層的貢獻大小。此外，可以使用 dive 工具深入分析映像檔內容，識別哪些檔案佔用了最多空間，從而進一步優化。

小結

Docker 映像檔最小化不僅是技術優化，更是安全與效能的最佳實踐。透過選擇輕量基礎映像檔、運用多階段建構以及精細控制 Dockerfile 指令，你可以將映像檔體積極大地縮減，同時提升應用程式的安全性和部署效率。下次建構映像檔時，不妨回頭檢查你的 Dockerfile，看看是否還有精簡的空間。