Загрузка изображений с хаба
Тема дорожной карты · Docker & Containers
docker pull получает манифест образа из реестра и докачивает слои, которых ещё нет в локальном хранилище. Реестр по умолчанию — Docker Hub, поэтому docker pull redis:7-alpine разрешается в docker.io/library/redis:7-alpine. Для воспроизводимых деплоев пинуйте по digest (redis@sha256:...), а не по изменяемым тегам вроде latest. Типичные грабли: упереться в лимит анонимных скачиваний Hub, скачать не ту архитектуру на Apple Silicon (помогает --platform=linux/amd64), забыть про docker pull -a, который тянет все теги репо.
Как это работает
Загрузка изображений с хаба хранятся как стек read-only слоёв + JSON config. docker build читает Dockerfile и создаёт по одному слою на инструкцию (RUN, COPY, ADD) — попадание в кэш пропускает работу, если родительский слой и команда не изменились. Теги (repo:tag) — изменяемые указатели; контент адресуется SHA-256 digest. Multi-stage сборки (FROM base AS builder … FROM slim … COPY --from=builder) поставляют только финальный stage, ужимая runtime-образ.
Когда применять
Сортируйте инструкции Dockerfile от наименее- к наиболее-часто-меняющимся (system deps → app deps → app source) — максимизируете попадания в кэш. Multi-stage сборки — везде, где финальный образ требует меньше, чем сборка (Go-бинарники, скомпилированные ассеты, npm-собранный JS). Закрепляйте базовые образы по digest (FROM node:22-alpine@sha256:...) для воспроизводимости — node:latest пересобирается с тем Node, что выкатили сегодня. .dockerignore держит .git, node_modules, тестовые артефакты вне build context.
Типичные ошибки
Ловушки Загрузка изображений с хаба: изменяемый тег :latest в production (образ сегодня ≠ образ вчера); огромные образы из-за apt-get update без rm -rf /var/lib/apt/lists/* в том же RUN; убитый кэш из-за COPY . . перед RUN npm install (каждое изменение кода инвалидирует слой deps); секреты, запечённые в слой через ENV (живут в history навсегда — используйте --secret mount или build args аккуратно).