Docker 创建镜像流程步骤详解

前言

在容器化技术盛行的今天，Docker镜像是构建和部署应用的基石。本文将以Spring Boot应用为例，深度解析从环境准备到镜像发布的全流程，涵盖基础镜像选择策略、Dockerfile高级优化技巧、多阶段构建实战、安全加固方案及自动化部署实践，助您掌握企业级镜像构建的核心能力。

一、镜像创建前的深度准备

1. 基础镜像选择策略

镜像体积优先：生产环境推荐使用Alpine或Slim版本，例如openjdk:17-jdk-slim（仅170MB）比标准JDK镜像（约650MB）体积减少74%
安全合规性：优先选择官方维护的基础镜像（如Docker Hub的Verified Publisher镜像），避免使用第三方未经验证的镜像
依赖匹配：确保基础镜像的操作系统版本与应用依赖兼容，例如Node.js应用推荐使用node:18-alpine而非Ubuntu基础镜像

2. 项目结构优化

myapp/
├── src/
│   ├── main/
│   │   ├── java/
│   │   └── resources/
│   └── test/
├── pom.xml
├── Dockerfile
└── .dockerignore  # 新增忽略文件配置

.dockerignore关键配置

# 排除构建缓存和临时文件
target/
*.iml
.idea/
# 排除敏感信息
*.env

二、Dockerfile编写进阶技巧

1. 多阶段构建深度解析

（1）构建阶段优化

# 构建阶段：使用Maven镜像加速依赖下载
FROM maven:3.8.4-openjdk-17 AS builder
WORKDIR /app
COPY pom.xml .
RUN --mount=type=cache,target=/root/.m2   # 挂载Maven缓存
    mvn dependency:go-offline -B  # -B参数避免交互式输入
COPY src ./src
RUN mvn package -DskipTests -Dmaven.javadoc.skip=true  # 跳过文档生成

（2）运行阶段安全加固

# 运行阶段：使用最小化JRE镜像
FROM openjdk:17-jre-slim
WORKDIR /app

# 创建非特权用户（UID=1001）
RUN groupadd -r app && useradd -r -g app -u 1001 app
USER 1001

# 复制构建产物（仅保留必要文件）
COPY --from=builder /app/target/myapp.jar .

# 限制容器能力（移除所有不必要权限）
RUN setcap 'cap_net_bind_service=+ep' /app/myapp.jar  # 允许绑定低端口
CMD ["java", "-XX:+UseContainerSupport", "-jar", "myapp.jar"]  # 启用容器感知优化

2. 镜像分层黄金法则

不变层优先：将COPY pom.xml和RUN mvn dependency:go-offline放在Dockerfile顶部，利用缓存加速构建
操作合并：将多个RUN指令合并为一条，例如：

RUN apt-get update && 
    apt-get install -y --no-install-recommends 
    ca-certificates && 
    rm -rf /var/lib/apt/lists/*

避免污染：使用--mount=type=cache挂载构建缓存，避免将依赖下载到镜像层中

三、镜像构建与测试实战

1. 智能构建策略

（1）开发环境构建

# 启用构建缓存并指定开发参数
docker build 
  --build-arg ENV=dev 
  --build-arg VERSION=1.0.0-SNAPSHOT 
  -t myapp:dev .

（2）生产环境构建

# 禁用缓存并强制拉取基础镜像
docker build 
  --no-cache 
  --pull 
  -t registry.example.com/myapp:1.0 .

2. 镜像验证体系

（1）功能验证

# 启动测试容器并验证接口
docker run -d -p 8080:8080 --name myapp-test myapp:dev
sleep 5
curl -X GET http://localhost:8080/actuator/health | jq

（2）性能测试

# 使用Apache Benchmark压测
docker run --rm --network host httpd:2.4-alpine ab -n 1000 -c 10 http://localhost:8080/api

四、镜像优化与安全强化

1. 体积优化组合拳

多阶段构建：仅保留运行时必要文件，镜像体积可减少60%以上
清理缓存：在RUN指令末尾添加rm -rf /var/lib/apt/lists/*等清理命令
压缩镜像：使用docker save | gzip > myapp.tar.gz压缩镜像，体积再降30%

2. 安全加固方案

（1）权限控制

# 使用非root用户运行容器
USER 1001
# 限制文件系统权限
RUN chmod 755 /app && chmod 644 /app/myapp.jar

（2）漏洞扫描

# 使用Trivy进行深度扫描
docker run --rm -v /var/run/docker.sock:/var/run/docker.sock aquasec/trivy:latest myapp:1.0

五、镜像发布与自动化部署

1. 私有仓库深度集成

（1）Harbor仓库配置

# 生成HTTPS证书
openssl req -x509 -nodes -days 365 -newkey rsa:2048 -keyout ca.key -out ca.crt -subj "/CN=harbor.example.com"

# 配置Harbor
vim harbor/harbor.yml
hostname: harbor.example.com
https:
  cert_file: /data/cert/ca.crt
  key_file: /data/cert/ca.key

（2）镜像推送

# 登录私有仓库
docker login --username=admin --password=Harbor12345 harbor.example.com

# 多标签管理
docker tag myapp:1.0 harbor.example.com/dev/myapp:v1.0
docker tag myapp:1.0 harbor.example.com/prod/myapp:stable

2. 云原生部署实践

（1）阿里云SAE部署

# 推送镜像至ACR
docker tag myapp:1.0 registry.cn-hangzhou.aliyuncs.com/myapp:v1.0
docker push registry.cn-hangzhou.aliyuncs.com/myapp:v1.0

# 配置SAE应用
1. 控制台创建应用，选择镜像部署
2. 绑定公网SLB，设置HTTP 80端口映射到容器8080
3. 验证访问：http://slb-ip/actuator/health

（2）Kubernetes部署

# deployment.yaml
apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  replicas: 3
  template:
    spec:
      containers:
      - name: myapp
        image: harbor.example.com/prod/myapp:stable
        ports:
        - containerPort: 8080
        securityContext:
          runAsUser: 1001
          allowPrivilegeEscalation: false

六、持续集成与自动化构建

1. GitLab CI/CD实战

（1）runner注册

# 注册共享runner
docker run -d --name gitlab-runner --restart always 
  -v /srv/gitlab-runner/config:/etc/gitlab-runner 
  -v /var/run/docker.sock:/var/run/docker.sock 
  gitlab/gitlab-runner:latest

# 注册特定runner
docker run --rm -it 
  -v /srv/gitlab-runner/config:/etc/gitlab-runner 
  gitlab/gitlab-runner register 
  --url http://gitlab.example.com 
  --registration-token $TOKEN 
  --executor docker 
  --docker-image alpine:latest

（2）.gitlab-ci.yml配置

stages:
  - build
  - test
  - deploy

build:
  stage: build
  image: docker:24.0.6
  services:
    - docker:24.0.6-dind
  script:
    - docker build -t myapp:${
            CI_COMMIT_SHA} .
    - docker login -u $DOCKERHUB_USER -p $DOCKERHUB_PASS
    - docker push myapp:${
            CI_COMMIT_SHA}

test:
  stage: test
  image: openjdk:17-jdk-slim
  script:
    - docker run --rm myapp:${
            CI_COMMIT_SHA} java -jar myapp.jar --spring.profiles.active=test

七、生产环境排错指南

1. 镜像构建失败排查

（1）依赖下载失败

# 切换国内镜像源
docker build --build-arg MAVEN_MIRROR_URL=https://maven.aliyun.com/repository/public .

（2）缓存失效问题

# 查看镜像层缓存状态
docker build --no-cache --progress=plain . | grep 'CACHED'

2. 容器运行故障诊断

（1）端口映射异常

# 检查宿主机防火墙
firewall-cmd --add-port=8080/tcp --permanent
firewall-cmd --reload

# 验证容器端口绑定
docker port myapp-test 8080

（2）权限问题

# 查看容器进程用户
docker exec myapp-test id
# 检查文件权限
docker exec myapp-test ls -l /app

八、镜像管理最佳实践

1. 版本控制策略

语义化标签：采用主版本.次版本.修订号格式，如1.2.3
环境标签：使用dev、test、prod区分环境
Git哈希标签：绑定CI/CD构建的Git提交哈希，如a1b2c3

2. 镜像生命周期管理

# 清理老旧镜像（保留最近5个版本）
docker image prune -a --filter "label=stage=prod" --filter "until=72h" -f

# 定期扫描漏洞
docker scan --format json --output scan-report.json myapp:prod