Generator Dockerfile

Mengapa build multi-stage

Dockerfile yang naif menginstal seluruh toolchain compiler ke image final. Build multi-stage memberi Anda tahap “builder” yang mengompilasi dan tahap final yang hanya membawa artefak hasil kompilasi:

FROM node:20-alpine AS builder
WORKDIR /app
COPY package*.json ./
RUN npm ci
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
USER node
EXPOSE 3000
CMD ["node", "dist/index.js"]

Image final membuang semua dependensi dev, file sumber, dan cache build, sering kali memangkas ukuran image hingga 60-80 persen.

Varian base image

Template memakai image slim atau alpine jika memungkinkan. Jika Anda menyesuaikan base image sendiri, inilah pilihan umumnya:

Aturan cache layer

Docker men-cache setiap baris; begitu satu layer berubah, semua di bawahnya dibangun ulang. Urutan dari yang paling jarang hingga paling sering berubah:

1. Base image FROM (jarang berubah).
2. Paket sistem (apt-get install), perubahan jarang.
3. Manifest dependensi (package.json, requirements.txt, composer.json).
4. Langkah instalasi dependensi. Hanya berjalan saat manifest berubah.
5. Salinan kode sumber. Layer paling sibuk; semua setelahnya dibangun ulang setiap commit.
6. Kompilasi dan CMD final.

Melanggar urutan ini adalah alasan paling umum build CI menjadi lambat.

Daftar periksa keamanan

• Jalankan sebagai non-root. Setel USER appuser (atau USER 1000) di dekat akhir.
• Pin versi. python:3.12.7-slim lebih baik daripada python:3.12, yang lebih baik daripada python:latest.
• Tetapkan WORKDIR eksplisit daripada mengandalkan /.
• Gunakan COPY, bukan ADD, untuk file lokal; ADD punya efek samping ekstraksi otomatis.
• Tambahkan HEALTHCHECK agar orchestrator dapat mendeteksi proses yang macet.
• Bersihkan cache paket di baris RUN yang sama: apt-get install ... && rm -rf /var/lib/apt/lists/*.