# Dockerfile 生成器 ## 概述该技能提供了一个全面的工作流程，用于生成可用于生产的 Dockerfile，并内置安全性、优化和最佳实践。通过自动验证和迭代错误修复，生成多阶段构建、安全强化配置和优化层结构。 **主要特点：** * 多阶段构建以获得最佳图像尺寸（缩小 50-85%） * 安全强化（非 root 用户、最少的基础镜像、无秘密） * 层缓存优化以加快构建速度 * 特定语言的模板（Node.js、Python、Go、Java） * 自动生成.dockerignore * 与“dockerfile-validator”集成进行验证 * 迭代验证和错误修复（如果发现错误，至少迭代 1 次） * 本地引用以及针对特定框架模式的文档查找后备链 ## 何时使用此技能在以下情况下调用该技能： * 从头开始创建新的 Dockerfile * 容器化应用程序（Node.js、Python、Go、Java 或其他语言） * 实施多阶段构建以优化尺寸 * 将现有 Dockerfile 转换为最佳实践 * 生成生产就绪的容器配置 * 优化 Docker 构建的安全性和性能 * 用户要求“创建”、“生成”、“构建”或“写入”Dockerfile * 实现微服务容器化 * 设置 CI/CD 管道容器构建 ### 触发短语当请求包含以下措辞时立即使用此技能： *“为我的应用程序生成一个生产 Dockerfile” *“为<语言/框架>创建多阶段Dockerfile” *“通过安全最佳实践将此服务容器化” *“优化此 Dockerfile 的大小和构建速度” *“编写Dockerfile和.dockerignore进行部署” ## 不要将此技能用于 * 验证现有的 Dockerfile（使用 `dockerfile-validator` 代替） * 构建或运行容器（使用 docker build/run 命令） * 调试正在运行的容器（使用docker log、docker exec） * 管理 Docker 镜像或注册表 ## 确定性执行模型按顺序运行这些阶段，并且不要跳过某个阶段，除非最终输出中报告了跳过原因。 1. 收集需求（语言、运行时版本、入口点、公开端口、包管理器、运行状况端点）。 2. 加载参考文献（先加载本地参考文件；当本地参考文献不足时才加载外部文档）。 3. 生成 Dockerfile 和 `.dockerignore`。 4. 使用“dockerfile-validator”或后备本地工具进行验证。 5. 迭代修复直至满足停止条件。 6. 发布最终工件以及验证/审核报告。第 5 阶段的停止条件： * 当验证错误为零并且没有未批准的警告时停止。 * 最多 3 次迭代后停止，然后针对未解决的结果发出故意偏差报告。 ## 参考路径图根据需要直接通过路径查阅这些文件： * `references/security_best_practices.md` 适用于非 root 用户、秘密处理、基础镜像强化、漏洞扫描。 * `references/optimization_patterns.md` 用于多阶段策略、缓存优化、层减少、BuildKit 缓存挂载。 * `references/language_specific_guides.md` 用于语言/框架运行时和包管理器模式。 * `references/multistage_builds.md` 用于高级阶段分割和工件复制模式。 ## Dockerfile 生成工作流程生成 Dockerfile 时请遵循此工作流程。根据用户需求进行调整： ### 第 1 阶段：收集需求 **目标：** 了解需要容器化的内容并收集所有必要的信息。 **要收集的信息：** 1. **申请详情：** * 编程语言和版本（Node.js 18/20、Python 3.11/3.12、Go 1.21+、Java 17/21 等） * 应用程序类型（Web 服务器、API、CLI 工具、批处理作业等） * 框架（Express、FastAPI、Spring Boot等） * 入口点（主文件、运行命令） 2. **依赖关系：** * 包管理器（npm/yarn/pnpm、pip/poetry、go mod、maven/gradle） * 系统依赖项（构建工具、库等） * 构建时与运行时依赖关系 3. **应用程序配置：** * 要公开的端口 * 需要环境变量 * 配置文件 * 健康检查端点（用于Web服务） * 卷安装（如果有） 4. **构建要求：** * 构建命令 * 测试命令（可选） * 编译需求（针对编译型语言） * 静态资产生成 5. **生产要求：** * 预期图像尺寸限制 * 安全要求 * 扩展需求 * 资源限制（CPU、内存） **如果信息缺失或不清楚，请使用 AskUserQuestion。** **示例问题：** - 您的应用程序使用什么编程语言和版本？ - 运行应用程序的主要入口点是什么？ - 您的应用程序是否公开任何端口？如果有，是哪些？ - 除了基本语言运行时之外，您是否还需要任何系统依赖项？ - 您的应用程序是否需要健康检查端点？ ### 第 2 阶段：框架/库文档查找（如果需要） **目标：** 研究特定于框架的容器化模式和最佳实践。 **何时执行此阶段：** * 用户提及特定框架（Next.js、Django、FastAPI、Spring Boot 等） * 应用程序具有复杂的构建要求 * 需要特定于框架的优化指导 **研究过程（严格的后备链）：** 1. **先阅读本地参考资料（必填）：** * `参考文献/security_best_practices.md` * `参考文献/optimization_patterns.md` * `参考资料/语言特定_指南.md` 2. **当本地引用不足时使用 Context7 文档查找（首选外部源）：** 将 mcp__context7__resolve-library-id 与框架名称一起使用然后使用 mcp__context7__query-docs 进行查询： “docker部署生产构建” 3. **仅当 Context7 不可用或缺少所需详细信息时才使用网络搜索：** "" "" dockerfile 生产部署最佳实践 4. **如果外部查找不可用（离线/工具限制）：** * 继续使用此文件中的本地引用和语言模板。 * 在输出中明确说明假设。 * 在最终报告中标记查找限制。 5. **仅提取可操作的数据：** * 推荐基础镜像+版本策略 * 构建优化技术 * 所需的运行时环境变量 * 生产与开发的差异 * 特定于框架的安全要求 ### 第 3 阶段：生成 Dockerfile **目标：** 按照最佳实践创建一个可用于生产的多阶段 Dockerfile。 **核心原则：** 1. **多阶段构建（编译语言必需，所有语言推荐）：** * 将构建阶段与运行阶段分开 * 将构建工具排除在最终映像之外 * 仅复制必要的工件 * 图像缩小 50-85% 2. **安全强化（必需）：** * 使用特定版本标签（切勿使用：最新） * 以非 root 用户身份运行（创建专用用户） * 使用最少的基础镜像（alpine、distroless） * 没有硬编码的秘密 * 扫描基础镜像是否存在漏洞 3. **层优化（必需）：** * 从最不频繁更改到最频繁更改的顺序排列指令 * 在应用程序代码之前复制依赖文件 * 将相关RUN命令用&&组合起来 * 清理同一层的包管理器缓存 * 有效利用构建缓存 4. **生产准备就绪（必需）：** * 为服务添加 HEALTHCHECK * 对 ENTRYPOINT/CMD 使用 exec 形式 * 将WORKDIR设置为绝对路径 * 使用 EXPOSE 记录暴露的端口 **特定于语言的模板：** #### Node.js 多阶段 Dockerfile > **构建阶段依赖规则：** 如果应用程序有构建步骤（TypeScript、Vite、Webpack 等），请在构建器阶段安装 **所有** 依赖项（省略 `--only=product`），并在构建后修剪开发依赖项。在构建步骤之前使用“--only=生产”将导致“npm run build”失败，因为未安装开发工具。 # 语法=docker/dockerfile:1 # 构建阶段 — 安装所有 deps，以便构建工具（tsc、vite 等）可用， # 然后修剪开发部门，以便生产阶段仅提供运行时所需的内容。 FROM节点：20-alpine AS构建器工作目录/应用程序 # 复制依赖文件进行缓存复制包*.json ./ # 安装所有依赖项（包括构建步骤所需的 devDependency）运行 npm ci && \ npm 缓存清理 --force # 复制应用程序代码复制。。 # 构建应用程序并修剪开发依赖项 RUN npm 运行构建 && \ npm prune --生产 # 制作阶段 FROM节点：20-alpine AS生产工作目录/应用程序 # 设置生产环境 ENV NODE_ENV=生产 # 创建非root用户运行 addgroup -g 1001 -S nodejs && \ 添加用户-S nodejs -u 1001 # 从构建器复制修剪后的node_modules和构建的应用程序复制 --from=builder --chown=nodejs:nodejs /app/node_modules ./node_modules 复制 --from=builder --chown=nodejs:nodejs /app 。 # 切换到非root用户用户nodejs # 暴露端口曝光 3000 # 健康检查 HEALTHCHECK --间隔=30s --超时=3s --start-period=5s --retries=3 \ CMD node -e "require('http').get('http://localhost:3000/health', (r) => {process.exit(r.statusCode === 200 ? 0 : 1)})" # 启动应用程序 CMD [“节点”，“index.js”] > **简单应用程序（无构建步骤）：** 如果没有编译或捆绑，则在构建器阶段仅安装生产 deps 并从主机上下文复制源： > > > 运行 npm ci --only=生产 && npm 缓存清理 --force > ... > 复制 --from=builder --chown=nodejs:nodejs /app/node_modules ./node_modules > 复制 --chown=nodejs:nodejs 。。 > #### Python 多阶段 Dockerfile # 语法=docker/dockerfile:1 # 构建阶段来自 python:3.12-slim AS 构建器工作目录/应用程序 # 安装构建依赖项 # hadolint 忽略=DL3008 运行 apt-get update && apt-get install -y --no-install-recommends \ 海湾合作委员会\ && rm -rf /var/lib/apt/lists/* # 复制依赖文件复制requirements.txt。 # 安装Python依赖项运行 pip install --no-cache-dir --user -r requests.txt # 制作阶段来自 python:3.12-slim AS 生产工作目录/应用程序 # 创建非root用户运行 useradd -m -u 1001 appuser # 从构建器复制依赖项复制 --from=builder /root/.local /home/appuser/.local # 复制应用程序代码复制 --chown=appuser:appuser 。。 # 更新 PATH 并设置 Python 生产环境变量 # PYTHONUNBUFFERED=1 确保立即刷新 stdout/stderr （对于容器日志至关重要） # PYTHONDONTWRITEBYTECODE=1 防止将 .pyc 文件写入磁盘 ENV PATH=/home/appuser/.local/bin:$PATH \ Python无缓冲=1 \ Python不写字节码=1 # 切换到非root用户 USER 应用程序用户 # 暴露端口曝光 8000 # 健康检查（根据需要调整端点） HEALTHCHECK --间隔=30s --超时=3s --start-period=5s --retries=3 \ CMD python -c "导入 urllib.request; urllib.request.urlopen('http://localhost:8000/health').read()" || 1号出口 # 启动应用程序 CMD [“python”，“app.py”] #### Go 多阶段 Dockerfile # 语法=docker/dockerfile:1 # 构建阶段来自 golang:1.21-alpine AS 构建器工作目录/应用程序 # 复制 go mod 文件复制 go.mod go.sum ./ RUN go 模组下载 # 复制源代码复制。。 # 构建应用程序 RUN CGO_ENABLED=0 GOOS=linux go build -a -ldflags="-s -w" -o main 。 # 生产阶段（使用 distroless 获得最小图像） # gcr.io/distroless/static-debian12 是一个特定的标签； hadolint DL3006 是一个 # 非 Docker-Hub 注册表的误报。 # hadolint 忽略=DL3006 来自 gcr.io/distroless/static-debian12 AS 生产工作目录 / # 从构建器复制二进制文件复制 --from=builder /app/main /main # 暴露端口曝光8080 # Distroless 镜像不支持 HEALTHCHECK（没有可用的 shell） # 切换到非root用户（distroless默认以非root身份运行）用户非root:非root # 启动应用程序入口点[“/main”] #### Java 多阶段 Dockerfile # 语法=docker/dockerfile:1 # 构建阶段来自 eclipse-temurin:21-jdk-jammy AS 构建器工作目录/应用程序 # 复制 Maven 包装器和 pom.xml 复制 mvnw pom.xml ./ 复制 .mvn .mvn # 下载依赖项（缓存层） RUN ./mvnw 依赖项：脱机 # 复制源代码复制源代码./src # 构建应用程序 RUN ./mvnw clean package -DskipTests && \ mv 目标/*.jar 目标/app.jar # 生产阶段（使用JRE而不是JDK）来自 eclipse-temurin:21-jre-jammy AS 生产工作目录/应用程序 # 安装healthcheck依赖并创建非root用户 # hadolint 忽略=DL3008 运行 apt-get update && apt-get install -y --no-install-recommends curl && \ rm -rf /var/lib/apt/lists/* && \ useradd -m -u 1001 应用程序用户 # 从构建器复制 JAR 复制 --from=builder --chown=appuser:appuser /app/target/app.jar ./app.jar # 切换到非root用户 USER 应用程序用户 # 暴露端口曝光8080 # 健康检查健康检查 --间隔 = 30 秒 --超时 = 3 秒 --开始周期 = 40 秒 --重试 = 3 \ CMD curl -f http://localhost:8080/actuator/health || 1号出口 # 启动应用程序 ENTRYPOINT [“java”，“-jar”，“app.jar”] **选择逻辑：** * Node.js：用于 JavaScript/TypeScript 应用程序 * Python：用于Python应用程序（Web、API、脚本） * Go：用于 Go 应用程序（非常适合最小图像） * Java：用于 Spring Boot、Quarkus 或其他 Java 框架 * 通用：为其他语言创建自定义 Dockerfile **始终包括：** 1. 语法指令：`#syntax=docker/dockerfile:1` 2. 多阶段构建（构建+生产阶段） 3.非root用户的创建和使用 4. 服务健康检查（如果适用） 5.正确的WORKDIR设置 6. EXPOSE 已记录的端口 7. 清理包管理器缓存 8. CMD/ENTRYPOINT 的执行形式 ### 第 4 阶段：生成 .dockerignore **目标：** 创建全面的 .dockerignore 以减少构建上下文并防止秘密泄漏。 **始终使用生成的 Dockerfile 创建 .dockerignore。** **标准 .dockerignore 模板：** # git .git .gitignore .gitattributes # 持续集成/持续交付 .github .gitlab-ci.yml .travis.yml .circleci # 文档自述文件.md 变更日志.md 贡献.md 许可证 *.md 文档/ # 码头工人 Dockerfile* docker-compose*.yml .dockerignore # 环境 .env .env.* *.本地 # 日志日志/ *.log npm-debug.log* 纱线调试.log* 纱线错误.log* # 依赖项（特定于语言 - 根据需要添加）节点模块/ __pycache__/ *.pyc *.pyo *.pyd .Python 文夫/ .venv/ 目标/ *.class # IDE .vscode/ .想法/ *.swp *.swo *~ .DS_Store # 测试覆盖范围/ .覆盖率 *.封面 .pytest_cache/ .tox/ 测试结果/ # 构建工件距离/ 构建/ *.egg-info/ **根据语言定制：** * Node.js：添加 `node_modules/`、`npm-debug.log`、`yarn-error.log` * Python: 添加`__pycache__/`、`*.pyc`、`.venv/`、`.pytest_cache/` * 转到：添加 `vendor/`、`*.exe`、`*.test` * Java：添加 `target/`、`*.class`、`*.jar` （最终工件除外） ### 第 5 阶段：使用 `dockerfile-validator` 进行验证 **目标：** 确保生成的 Dockerfile 遵循最佳实践并且没有未解决的关键问题。 **必需：始终在生成后运行验证。** **主要路径（首选）：** 1. 调用`dockerfile-validator`。 2. 按严重性捕获结果（“错误”、“警告”、“信息”）。 3. 首先优先考虑安全性和可重复性发现。 **后备路径（如果技能调用不可用）：** 1.直接尝试本地验证器脚本： bash ../dockerfile-validator/scripts/dockerfile-validate.sh Dockerfile 2. 如果该路径不可用，请直接运行可用的工具： hadolint Dockerfile checkov -f Dockerfile --framework dockerfile 3. 如果一个或多个工具不可用，请继续生成并在最终报告中报告每个跳过的检查。 **预期验证者阶段：** [1/4] 语法验证（hadolint） [2/4] 安全扫描（Checkov） [3/4] 最佳实践验证 [4/4] 优化分析 ### 第 6 阶段：验证迭代循环（明确要求） **目标：** 通过可审核的迭代记录应用确定性修复循环。 **循环规则（必填）：** 1. 至少运行一次验证。 2. 如果存在任何“错误”，请应用修复并重新运行验证。 3. 继续直至： * 没有留下“错误”，或者 * 迭代次数达到3。 4. 对于“警告”，要么修复它，要么将其标记为故意偏差并提供合理理由。 5. 永远不要默默地压制一个发现。 **迭代日志格式（必填）：** 迭代|使用的命令/路径 |错误 |警告|应用修复|结果 ---|---|---|---|---|--- 1 | `dockerfile-validator` 或后备命令 |尼 |尼 |简短摘要 |通过/失败 2 | ... |尼 |尼 |简短摘要 |通过/失败 3 | ... |尼 |尼 |简短摘要 |通过/失败 **常见修复：** * 为基础镜像添加版本标签 * 在 CMD/ENTRYPOINT 之前添加 USER 指令 * 为服务添加 HEALTHCHECK * 在安全的情况下组合 RUN 命令 * 清理同一层的包缓存 * 在不需要存档/url 行为的情况下，将“ADD”替换为“COPY” ### 第 7 阶段：最终审查和审计报告 **目标：** 交付可运行的工件以及可审核的报告。 **可交付成果（必需）：** 1.生成的文件： * Dockerfile（经过验证和优化） * `.dockerignore`（综合） 2.验证总结： * 使用的刀具路径（主要与后备） * 按严重程度划分的调查结果 * 循环后的最终状态 3. 第 6 阶段的迭代日志表。 4. 故意偏差报告（仅适用时）。 5、使用说明。 6. 优化指标和后续步骤。 **故意偏差报告（当任何发现未修复时需要）：** 身份证 |规则/检查 |严重性 |决定|理由|风险|缓解措施 |到期/审核日期 ---|---|---|---|---|---|---|--- 开发-001 |例如，DL3059 |警告|已接受 |构建步骤可读性要求|次要层开销|重构后重温 |年-月-日 **使用说明模板：** # 构建镜像 docker build -t myapp:1.0 。 # 运行容器 docker run -p 3000:3000 myapp:1.0 # 探测运行状况端点（如果暴露）卷曲 http://localhost:3000/health **优化指标（必填）：** ## 优化指标 |公制|估计| |--------|----------| |图像尺寸| ~150MB（对比没有多级的 ~500MB，减少 70%）| |构建缓存 |为依赖项启用层缓存 | |安全|非 root 用户，最小基础镜像，没有秘密 | **特定于语言的大小估计：** * **Node.js**：Alpine 约为 50-150MB（完整节点镜像约为 1GB） * **Python**：使用 slim 时约 150-250MB（相对于使用完整 python 映像时约 900MB） * **Go** : ~5-20MB with distroless/scratch (vs ~800MB with full golang image) * **Java**：使用 JRE 时约 200-350MB（使用 JDK 时约 500MB+） **后续步骤（必填）：** ## 后续步骤 - [ ] 在本地测试构建：`docker build -t myapp:1.0 .` - [ ] 运行并验证容器按预期工作 - [ ] 更新 CI/CD 管道以使用新的 Dockerfile - [ ] 考虑使用 BuildKit 缓存挂载以加快构建速度（请参阅references/optimization_patterns.md） - [ ] 使用 `docker scout` 或 `trivy` 设置自动漏洞扫描 - [ ] 推送到注册并部署 ## 生成脚本（可选参考） `scripts/` 目录包含独立的 bash 脚本，用于在此技能之外手动生成 Dockerfile： * `generate_nodejs.sh` \- Node.js Dockerfiles 的 CLI 工具 * `generate_python.sh` \- 用于 Python Dockerfiles 的 CLI 工具 * `generate_golang.sh` \- 用于 Go Dockerfiles 的 CLI 工具 * `generate_java.sh` \- Java Dockerfiles 的 CLI 工具 * `generate_dockerignore.sh` \- 用于生成 .dockerignore 的 CLI 工具 **用途：** 这些脚本是希望通过命令行生成 Dockerfile 而不使用技能调用的用户的参考实现和手动工具。他们展示了该技能中嵌入的相同最佳实践。 **使用此技能时：** Codex 直接使用此 SKILL.md 中记录的模板和模式生成 Dockerfile，而不是调用这些脚本。本文档中的模板是权威来源。 **脚本使用示例：** # 手动生成 Dockerfile cd devops-skills-plugin/skills/dockerfile-generator/scripts ./generate_nodejs.sh --版本 20 --端口 3000 --输出 Dockerfile **Node/Python 入口点标志（脚本模式）：** 旗帜|目的|注释 ---|---|--- `--条目` |遗留速记入口点 |仅简单的空格分割。引用的值被拒绝。 `--entry-cmd` |首选命令/可执行文件 |与重复的 `--entry-arg` 一起使用以实现精确的 argv 控制。 `--entry-arg` |首选参数值 |对每个参数重复；每个参数保留空格。 # 推荐用于包含空格的参数 ./generate_nodejs.sh \ --entry-cmd 节点 \ --entry-arg server.js \ --entry-arg --消息 \ --entry-arg“你好世界” ## 最佳实践参考 ### 安全最佳实践 1. **使用特定标签：** # 不好 FROM 节点：高山 # 好 FROM节点：20-alpine # 更好（通过摘要实现可重复性）来自节点：20-alpine@sha256:abc123... 2. **以非 root 身份运行：** # 创建用户运行 addgroup -g 1001 -S 应用组 && \ adduser -S appuser -u 1001 -G appgroup # CMD之前切换到用户 USER 应用程序用户 3. **使用最少的基础镜像：** * Alpine Linux（小型、安全） * Distroless（无外壳，攻击面最小） * 特定的运行时镜像（node:alpine vs node:latest） 4. **永远不要对秘密进行硬编码：** # 不好 ENV API_KEY=secret123 # 好 - 使用构建秘密 # docker build --secret id=api_key,src=.env RUN --mount=type=secret,id=api_key \ API_KEY=$(cat /run/secrets/api_key) ./configure ### 优化最佳实践 1. **层缓存：** # 先复制依赖文件复制 package.json package-lock.json ./ 运行 npm ci # 最后复制应用程序代码复制。。 2. **组合RUN命令：** # 不好（创建 3 层）运行 apt-get update 运行 apt-get install -y curl 运行 rm -rf /var/lib/apt/lists/* # 好（创建 1 层）运行 apt-get update && \ apt-get install -y --no-install-recommends curl && \ rm -rf /var/lib/apt/lists/* 3. **多阶段构建：** # 构建阶段 - 可以很大 FROM 节点：20 AS 构建器工作目录/应用程序复制。。运行 npm install && npm run build # 生产阶段 - 最小 FROM节点：20-alpine 复制 --from=builder /app/dist ./dist CMD [“节点”，“dist/index.js”] ### 生产准备 1. **健康检查：** HEALTHCHECK --间隔=30s --超时=3s --start-period=5s --retries=3 \ CMD curl -f http://localhost:3000/health || 1号出口 2. **正确信号：** # 使用 exec 形式进行正确的信号处理 CMD ["node", "server.js"] # 好 CMD节点server.js # Bad（无信号转发） 3. **元数据：** 标签维护者=“team@example.com”\ 版本=“1.0.0”\ 描述=“我的应用程序” ## 常见模式 ### 模式 1：Node.js 和 Next.js # 语法=docker/dockerfile:1 FROM 节点：20-alpine AS deps 工作目录/应用程序复制包*.json ./ 运行 npm ci FROM节点：20-alpine AS构建器工作目录/应用程序复制 --from=deps /app/node_modules ./node_modules 复制。。 RUN npm 运行构建 FROM节点：20-alpine AS runner 工作目录/应用程序 ENV NODE_ENV=生产运行 addgroup -g 1001 -S nodejs && \ 添加用户-S nextjs-u 1001 复制 --from=builder --chown=nextjs:nodejs /app/.next ./.next 复制 --from=builder --chown=nextjs:nodejs /app/public ./public 复制 --from=builder /app/node_modules ./node_modules 复制 --from=builder /app/package.json ./package.json 用户 nextjs 曝光 3000 CMD [“npm”，“开始”] ### 模式 2：Python 与 FastAPI # 语法=docker/dockerfile:1 来自 python:3.12-slim AS 构建器工作目录/应用程序 # hadolint 忽略=DL3008 运行 apt-get update && apt-get install -y --no-install-recommends gcc && \ rm -rf /var/lib/apt/lists/* 复制requirements.txt。运行 pip install --no-cache-dir --user -r requests.txt 来自 python:3.12-slim 工作目录/应用程序运行 useradd -m -u 1001 appuser 复制 --from=builder /root/.local /home/appuser/.local 复制 --chown=appuser:appuser 。。 ENV PATH=/home/appuser/.local/bin:$PATH \ Python无缓冲=1 \ Python不写字节码=1 USER 应用程序用户曝光 8000 HEALTHCHECK CMD python -c "导入 urllib.request; urllib.request.urlopen('http://localhost:8000/health')" || 1号出口 CMD [“uvicorn”，“main：app”，“--host”，“0.0.0.0”，“--port”，“8000”] ### 模式 3：Go CLI 工具 # 语法=docker/dockerfile:1 来自 golang:1.21-alpine AS 构建器工作目录/应用程序复制去。* ./ RUN go 模组下载复制。。 RUN CGO_ENABLED=0 go build -ldflags="-s -w" -o /bin/app 从头开始复制 --from=builder /bin/app /app 入口点[“/应用程序”] ## 现代 Docker 功能 (2025) ### 使用 BuildX 进行多平台构建 **用例：** 构建可在 AMD64 和 ARM64 架构（例如 x86 服务器和 Apple Silicon Mac）上运行的映像。 **启用BuildX：** # BuildX 默认包含在 Docker Desktop 中 # 对于 Linux，确保已安装 BuildX docker buildx 版本 **创建多平台图像：** # 为多个平台构建 docker buildx 构建 \ --平台 linux/amd64,linux/arm64 \ -t myapp:最新\ --推\ 。 # 针对当前平台构建并加载（测试） docker buildx 构建 \ --平台 linux/amd64 \ -t myapp:最新\ --加载\ 。 **Dockerfile 注意事项：** # 大多数 Dockerfile 自动跨平台工作 # 需要时使用特定于平台的基础镜像 FROM --platform=$BUILDPLATFORM 节点:20-alpine AS 构建器 # 访问平台信息的构建参数 ARG目标平台 ARG构建平台 RUN echo“在 $BUILDPLATFORM 上构建 $TARGETPLATFORM” **何时使用：** * 部署到混合基础设施（x86 + ARM） * 支持开发中的 Apple Silicon Mac * 针对 AWS Graviton（基于 ARM）实例进行优化 * 构建跨平台 CLI 工具 ### 软件物料清单 (SBOM) **用例：** 生成 SBOM 以实现供应链安全性和合规性（2025 年的要求越来越高）。 **在构建期间生成 SBOM：** # 使用 BuildKit 生成 SBOM (Docker 24.0+) docker buildx 构建 \ --sbom=true \ -t myapp:最新\ 。 # SBOM 作为图像的证明附加 # 查看SBOM docker buildx imagetools 检查 myapp:latest --format "{{ json .SBOM }}" **从现有图像生成 SBOM：** # 使用 Syft syft myapp:latest -o json > sbom.json # 使用 Docker Scout docker scout sbom myapp：最新 **SBOM 的好处：** * 整个供应链的漏洞跟踪 * 许可证合规性验证 * 依赖透明度 * 安全审查的审计跟踪 * 政府/企业合同必填 **与 CI/CD 集成：** # GitHub 操作示例 - 名称：使用 SBOM 构建运行：| docker buildx 构建 \ --sbom=true \ --出处=true \ -t myapp:最新\ --推\ 。 ### BuildKit 缓存安装（高级） **用例：** 通过跨构建持久保存包管理器缓存，显着加快构建速度。 **已在`references/optimization_patterns.md`中详细介绍。** **快速参考：** # 语法=docker/dockerfile:1 # NPM 缓存安装（构建速度加快 30-50%） RUN --mount=type=cache,target=/root/.npm \ 国家管理委员会 # Go模块缓存 RUN --mount=type=cache,target=/go/pkg/mod \ 去模组下载 # 点缓存 RUN --mount=type=cache,target=/root/.cache/pip \ pip install -r 要求.txt ## 错误处理 ### 常见生成问题 1. **缺少依赖文件：** * 确保package.json、requirements.txt、go.mod、pom.xml存在 * 要求用户提供或生成模板 2. **未知框架：** * 首先使用本地参考，然后Context7，然后网络搜索 * 回退到通用模板 * 询问用户特定的运行时/构建要求 3. **验证失败：** * 自动应用修复 * 迭代直到干净为止 * 记录任何压制行为 ## 与其他技能的整合该技能与以下技能结合起来效果很好： * **dockerfile-validator** \- 验证生成的 Dockerfile（必需） * **k8s-yaml-generator** \- 为容器生成 Kubernetes 部署 * **helm-generator** \- 使用容器镜像创建 Helm 图表 ## 注释 * **对于编译语言始终使用多阶段构建** * **为了安全起见，始终创建非 root 用户** * **始终生成.dockerignore**以防止秘密泄露 * **始终使用“dockerfile-validator”进行验证**（或显式回退检查） * **如果验证发现错误，至少迭代一次** * 尽可能使用 alpine 或 distroless 基础镜像 * 固定所有版本标签（切勿使用：最新） * 清理同一层的包管理器缓存 * 按照更改频率从最少到最频繁的顺序对 Dockerfile 指令进行排序 * 使用BuildKit功能进行高级优化 * 在提交之前在本地测试构建 * 保持 Dockerfile 简单且可维护 * 用注释记录任何不明显的模式 ## 完成标准仅当以下所有项目都为真时才将任务标记为已完成： * 生成 Dockerfile 和 `.dockerignore`。 * 验证已通过“dockerfile-validator”或记录的后备命令执行。 * 存在验证迭代循环证据（带有命令路径、计数和修复的迭代日志）。 * 没有剩余的验证“错误”结果。 * 每个剩余的“警告”都有修复或故意偏差报告行。 * 输出包括优化指标和可行的后续步骤。 ## 来源该技能基于权威来源的综合研究： **官方 Docker 文档：** * [Docker 最佳实践]() * [多阶段构建]() * [Dockerfile 参考]() **安全指南：** * [2025 年 Dockerfile 最佳实践]() * [Docker 安全最佳实践]() **优化资源：** * [Docker 多阶段构建指南]() * [构建优化的 Docker 镜像]()

Dockerfile 生成器

包含技能