Оптимизация размера изображения
Тема дорожной карты · Docker & Containers
Маленькие образы быстрее скачиваются, имеют меньшую поверхность атаки и лучше кэшируются в CI. Самые ощутимые выигрыши: тонкий базовый образ (alpine, distroless, *-slim), multi-stage Dockerfile, оставляющие компилятор за бортом, порядок слоёв (стабильные шаги — первыми), и продуманный .dockerignore. Аудит делайте через docker history, docker image ls или docker scout / dive. Грабли: RUN apt-get install без --no-install-recommends и последующего cleanup, копирование всего репо вместо одного package.json, и попытки спасаться --squash там, где уже хватает multi-stage.
Как это работает
Оптимизация размера изображения хранятся как стек read-only слоёв + JSON config. docker build читает Dockerfile и создаёт по одному слою на инструкцию (RUN, COPY, ADD) — попадание в кэш пропускает работу, если родительский слой и команда не изменились. Теги (repo:tag) — изменяемые указатели; контент адресуется SHA-256 digest. Multi-stage сборки (FROM base AS builder … FROM slim … COPY --from=builder) поставляют только финальный stage, ужимая runtime-образ.
Когда применять
Сортируйте инструкции Dockerfile от наименее- к наиболее-часто-меняющимся (system deps → app deps → app source) — максимизируете попадания в кэш. Multi-stage сборки — везде, где финальный образ требует меньше, чем сборка (Go-бинарники, скомпилированные ассеты, npm-собранный JS). Закрепляйте базовые образы по digest (FROM node:22-alpine@sha256:...) для воспроизводимости — node:latest пересобирается с тем Node, что выкатили сегодня. .dockerignore держит .git, node_modules, тестовые артефакты вне build context.
Типичные ошибки
Ловушки Оптимизация размера изображения: изменяемый тег :latest в production (образ сегодня ≠ образ вчера); огромные образы из-за apt-get update без rm -rf /var/lib/apt/lists/* в том же RUN; убитый кэш из-за COPY . . перед RUN npm install (каждое изменение кода инвалидирует слой deps); секреты, запечённые в слой через ENV (живут в history навсегда — используйте --secret mount или build args аккуратно).