容器镜像优化：构建缓存、层顺序和多阶段，收益比换基础镜像大

镜像优化常见的起手式是“换 Alpine”，但实际收益往往不如调整构建缓存和层顺序。一个 Node.js 服务从 1.2GB 降到 180MB 的复盘里，最大的几笔收益来自：多阶段构建、依赖层和源码层分离、清理构建产物、以及 .dockerignore。

层顺序的原则：
变化频率低的层放前面，变化频率高的放后面。package.json 和锁文件先复制、先安装依赖，再复制源码。这样改业务代码不会导致依赖重装。很多 Dockerfile 把 COPY . . 放在 npm install 之前，缓存完全失效。

多阶段构建：
构建阶段装 devDependencies、编译、打包；运行阶段只复制产物和生产依赖。Node 项目可以用 npm ci --omit=dev 或 prune，前端项目把构建产物复制到 nginx 或静态服务镜像。Go、Rust 这类编译型语言收益更大，最终镜像可以只留二进制。

基础镜像的选择：
Alpine 小，但 musl libc 和 glibc 的差异可能导致原生模块出问题；distroless 更小更安全，但调试困难；slim 版本是折中。选择要看是否有原生依赖、是否需要 shell 调试、安全扫描要求。不要为了体积牺牲可运维性。

其他细节：
.dockerignore 排除 node_modules、.git、测试文件、日志；用非 root 用户运行；固定基础镜像 digest 而不是 latest；合并 RUN 减少层数，但不要为了层数牺牲可读性；构建参数和密钥不要留在镜像历史里。