Linux Docker 鏡像瘦身實戰：從 1GB 縮減至 10MB 的極簡 Dockerfile 寫法

Docker 鏡像體積直接影響構建速度、部署時間、儲存成本與安全攻擊面。本文對比傳統 Ubuntu 基礎鏡像與 Alpine 極簡鏡像的 Dockerfile 寫法，示範如何將一個 Nginx + 2048 遊戲的鏡像從百 MB 級縮減至 10MB 以內，並解析關鍵優化原則。

一、傳統寫法：Ubuntu 基礎鏡像（反面教材）

FROM ubuntu:12.04
RUN apt-get update
RUN apt-get install -y nginx zip curl
RUN echo "daemon off;" >> /etc/nginx/nginx.conf
RUN curl -o /usr/share/nginx/www/master.zip -L https://codeload.github.com/gabrielecirulli/2048/zip/master
RUN cd /usr/share/nginx/www/ && unzip master.zip && mv 2048-master/* . && rm -rf 2048-master master.zip
EXPOSE 80
CMD ["/usr/sbin/nginx", "-c", "/etc/nginx/nginx.conf"]

問題分析

二、極簡寫法：Alpine 基礎鏡像（最佳實踐）

FROM alpine:latest
MAINTAINER alex 
RUN apk --update add nginx
COPY . /usr/share/nginx/html
EXPOSE 80
CMD ["nginx", "-g", "daemon off;"]

優化要點解析

三、進階瘦身技巧（通用原則）

1. 多階段建置 — 編譯環境與運行環境分離

# 階段 1：建置環境（含編譯工具、SDK）
FROM golang:1.21-alpine AS builder
WORKDIR /app
COPY go.mod go.sum ./
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 go build -o myapp

# 階段 2：運行環境（極簡）
FROM alpine:latest
RUN apk --no-cache add ca-certificates
COPY --from=builder /app/myapp /usr/local/bin/myapp
CMD ["myapp"]

2. 合併 RUN 指令減少層數

# 差：3 層
RUN apt-get update
RUN apt-get install -y nginx
RUN rm -rf /var/lib/apt/lists/*

# 好：1 層
RUN apt-get update && apt-get install -y nginx && rm -rf /var/lib/apt/lists/*

3. 使用 .dockerignore 排除無關檔案

# .dockerignore
.git
.gitignore
README.md
Dockerfile
*.log
node_modules
vendor
*.test
coverage

4. 清理套件管理器快取（同層完成）

# Debian/Ubuntu
RUN apt-get update && apt-get install -y  && apt-get clean && rm -rf /var/lib/apt/lists/*

# Alpine
RUN apk --update add  && rm -rf /var/cache/apk/*

# RHEL/CentOS
RUN yum install -y  && yum clean all && rm -rf /var/cache/yum/*

5. 移除文檔、語言包、開發頭文件

# Debian/Ubuntu
RUN apt-get install -y --no-install-recommends 

# Alpine 預設極簡，通常無需額外處理

6. 使用 distroless / scratch 基礎鏡像（極致）

# Google Distroless（僅含運行時依賴）
FROM gcr.io/distroless/static:nonroot
COPY --from=builder /app/myapp /myapp
USER 65532:65532
ENTRYPOINT ["/myapp"]

四、鏡像分析工具

# 查看鏡像層大小
docker history --no-trunc 

# 分析各層檔案佔用
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock \
  wagoodman/dive:latest 

# 檢視鏡像內容
docker export $(docker create ) | tar -tv

五、安全與合規加分項

• 非 root 使用者執行：USER 1000:1000
• 只讀根檔案系統：docker run --read-only
• 掃描漏洞：trivy image 、docker scan
• 簽名驗證：cosign sign / docker trust

遵循「單一職責、極簡基礎、多階段建置、同層清理」四大原則，配合 Alpine 或 Distroless 基礎鏡像，能將生產鏡像控制在極小體積，同時提升安全性與部署效率。

• 上一篇文章： Linux sed 指令新增字串實戰：行首、行尾、指定行、模式匹配四大場景全解析
• 下一篇文章： Linux 加密備份工具深度評測：Attic、Borg、Obnam、Restic、Duplicacy、Duplicati 六大去重加密備份方案對比

關於 Linux

Ubuntu 解決「can't find libjava.so」錯誤：使用 PPA 安裝 Oracle Java 8 避免手動配置坑

CentOS 编译安装 Lighttpd 1.4.x 完整步骤与配置部署

Linux 終端機快速啟動指南：三大進入方式圖文詳解