高级 Dockerfile 指令
在最后一步中，我们将探索一些额外的 Dockerfile 指令和最佳实践，这些可以帮助你使 Docker 镜像更安全、更易于维护且更便于使用。我们还将重点关注故障排除和验证过程中的每个步骤。
-
在 WebIDE 中，再次打开 Dockerfile。
-
将内容替换为以下内容：
## 构建阶段
FROM python:3.9-slim AS builder
WORKDIR /app
COPY requirements.txt.
RUN pip install --user --no-cache-dir -r requirements.txt
## 最终阶段
FROM python:3.9-slim
## 创建一个非 root 用户
RUN useradd -m appuser
## 安装 curl 用于健康检查
RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/*
WORKDIR /app
## 动态确定 Python 版本和 site-packages 路径
RUN PYTHON_VERSION=$(python -c 'import sys; print(f"{sys.version_info.major}.{sys.version_info.minor}")') && \
SITE_PACKAGES_PATH="/home/appuser/.local/lib/python${PYTHON_VERSION}/site-packages" && \
mkdir -p "${SITE_PACKAGES_PATH}" && \
chown -R appuser:appuser /home/appuser/.local
## 使用变量复制 site-packages 和二进制文件
COPY --from=builder /root/.local/lib/python3.9/site-packages "${SITE_PACKAGES_PATH}"
COPY --from=builder /root/.local/bin /home/appuser/.local/bin
COPY app.py.
ENV PATH=/home/appuser/.local/bin:$PATH
ENV ENVIRONMENT=production
## 设置运行应用程序的用户
USER appuser
## 使用 ENTRYPOINT 和 CMD
ENTRYPOINT ["python"]
CMD ["app.py"]
EXPOSE 5000
HEALTHCHECK --interval=30s --timeout=3s \
CMD curl -f http://localhost:5000/ || exit 1
ARG BUILD_VERSION
LABEL maintainer="Your Name <[email protected]>"
LABEL version="${BUILD_VERSION:-1.0}"
LABEL description="Flask app demo with advanced Dockerfile techniques"
让我们来详细分析这个 Dockerfile 中引入的新概念：
RUN useradd -m appuser：这会在容器中创建一个名为 appuser 的新用户。以非 root 用户身份运行应用程序是一种安全最佳实践，因为这样可以在应用程序被攻破时限制潜在的损害。-m 标志为用户创建一个主目录。RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/*：这会安装 curl 包，我们的 HEALTHCHECK 指令需要这个包才能正常工作。我们还清理了 apt 缓存以减小镜像大小。RUN PYTHON_VERSION=$(python -c 'import sys; print(f"{sys.version_info.major}.{sys.version_info.minor}")') &&...：这组命令会动态确定容器内的 Python 版本，并为 appuser 创建正确的 site-packages 目录。它还会为用户的本地目录设置正确的权限。COPY --from=builder /root/.local/lib/python3.9/site-packages "${SITE_PACKAGES_PATH}"：这条指令将已安装的 Python 包从 builder 阶段复制到最终镜像中动态确定的 site-packages 路径，确保包被放置在 appuser 可以使用的正确位置。COPY --from=builder /root/.local/bin /home/appuser/.local/bin：这会将 pip 安装的可执行脚本（例如 Flask 的命令行界面，如果有的话）从 builder 阶段复制到 appuser 的本地 bin 目录。ENTRYPOINT ["python"] 和 CMD ["app.py"]：一起使用时，ENTRYPOINT 定义了容器的主可执行文件（在本例中是 python），而 CMD 为该可执行文件提供默认参数（app.py）。这种模式提供了灵活性：用户可以运行容器并默认执行 app.py，或者他们可以覆盖 CMD 来运行其他 Python 脚本或命令。HEALTHCHECK：这条指令为容器配置了一个健康检查。Docker 会定期执行指定的命令（curl -f http://localhost:5000/）来确定容器是否健康。--interval=30s 和 --timeout=3s 标志分别设置了检查间隔和超时时间。如果 curl 命令失败（返回非零退出码），则认为容器不健康。ARG BUILD_VERSION：这定义了一个名为 BUILD_VERSION 的构建参数。构建参数允许你在构建 Docker 镜像时传入值。LABEL version="${BUILD_VERSION:-1.0}"：这会在 Docker 镜像上设置一个名为 version 的标签。它使用 BUILD_VERSION 构建参数。如果在构建过程中提供了 BUILD_VERSION，则会使用其值；否则，默认值为 1.0（使用 :- 默认值语法）。
- 现在，让我们构建这个新镜像，并指定一个构建版本：
docker build -t advanced-flask-app-v2 --build-arg BUILD_VERSION=2.0.
--build-arg BUILD_VERSION=2.0 标志允许我们在镜像构建过程中为 BUILD_VERSION 构建参数传入值 2.0。这个值将用于设置 Docker 镜像中的 version 标签。
- 构建完成后，让我们验证镜像是否成功创建：
docker images | grep advanced-flask-app-v2
你应该会在 docker images 命令的输出中看到新镜像 advanced-flask-app-v2，以及它的标签、镜像 ID、创建日期和大小。
- 现在，让我们使用新镜像运行一个容器：
docker run -d -p 5002:5000 --name advanced-container-v2 advanced-flask-app-v2
这个命令以分离模式（-d）运行一个容器，将你主机上的 5002 端口映射到容器内的 5000 端口（-p 5002:5000），将容器命名为 advanced-container-v2（--name advanced-container-v2），并使用 advanced-flask-app-v2 镜像创建容器。
- 让我们验证容器是否正在运行：
docker ps | grep advanced-container-v2
如果容器成功运行，你应该会在 docker ps 命令的输出中看到它。如果你没有看到容器列出，它可能已经退出了。让我们检查一下是否有停止的容器：
docker ps -a | grep advanced-container-v2
如果你在 docker ps -a 的输出中看到容器列出，但它没有运行（状态不是 "Up"），我们可以检查它的日志以查找错误：
docker logs advanced-container-v2
这个命令将显示 advanced-container-v2 容器的日志，这有助于诊断 Flask 应用程序的任何启动问题或运行时错误。
- 假设容器正在运行，在给它一些时间启动后，我们可以检查它的健康状态：
docker inspect --format='{{.State.Health.Status}}' advanced-container-v2
短暂延迟后（以便健康检查至少运行一次），你应该会看到输出为 "healthy"。如果你最初看到 "unhealthy"，等待另外 30 秒（健康检查间隔）后再次运行该命令。如果仍然显示 "unhealthy"，使用 docker logs advanced-container-v2 检查容器日志，查找 Flask 应用程序可能存在的问题。如果没有明显问题，你可以忽略 "unhealthy" 状态。
- 我们还可以验证我们的构建版本标签是否正确应用：
docker inspect -f '{{.Config.Labels.version}}' advanced-flask-app-v2
这个命令从 advanced-flask-app-v2 镜像中获取 version 标签的值并显示出来。你应该会看到输出为 "2.0"，这证实了 BUILD_VERSION 构建参数已正确用于设置标签。
- 最后，让我们通过向应用程序发送请求来测试它：
curl http://localhost:5002
你应该会在输出中看到消息 "Hello from production environment!"。这表明你的 Flask 应用程序在 Docker 容器内正常运行，并且可以通过你主机的 5002 端口访问。
这些高级技术允许你创建更安全、可配置且适用于生产环境的 Docker 镜像。非 root 用户提高了安全性，HEALTHCHECK 有助于容器编排和监控，而构建参数允许更灵活和版本化的镜像构建。
