基本结构

Dockerfle 由 一行行命令语句组成， 并且支持以＃开头的注释行。一般而言， Dockerfle 主体内容分为四部分：基础镜像信息、 维护者信息、 镜像操作指令和容器启动时执行指令。

# escape=\ (backslash)
# This dockerfile uses the ubuntu:xeniel image
# VERSION 2 - EDITION 1
# Author: docker_user
# Command format: Instruction [arguments / command]
# Base image to use, this must be set as the first line
FROM ubuntu:xeniel
＃ Maintainer: ． docker_user <docker user at email.com> (@docker user)
LABEL maintainer docker user<docker [email protected]>
# Commands to update the image
RUN echo "deb http://archive.ubuntu.com/ubuntu/ xeniel main universe" >> /etc/apt/sources.list
RUN apt-get update && apt-get install -y nginx
RUN echo "\ndaeron off;" >> /etc/nginx/nginx.conf
# Commands when creating a new container
CMD /usr/sbin/nginx

首行可以通过注释来指定解析器命令， 后续通过注释说明镜像的相关信息。 主体部分首先使用FROM指令指明所基于的镜像名称， 接下来一般是使用LABEL指令说明维护者信息。后面则是镜像操作指令， 例如RUN指令将对镜像执行跟随的命令。 每运行一条RUN指令，镜像添加新的一层， 并提交。 最后是CMD指令， 来指定运行容器时的操作命令。

指令说明

配置指令

ARG

定义创建镜像过程中使用的变量。格式为 ARG <name>[=<default value>]。在执行 docker build 时， 可以通过 -build-arg[=] 来为变量赋值。 当镜像编译成功后， ARG 指定的变量将不再存在 (ENV 指定的变量将在镜像中保留）。

Docker 内置了一些镜像创建变量， 用户可以直接使用而无须声明， 包括（不区分大小写） HTTP PROXY 、 HTTPS PROXY 、 FTP PROXY 、 NO PROXY。

FROM

指定所创建镜像的基础镜像。

格式为 FROM <image> [AS <name>] 或 FROM <image>:<tag> [AS <name>]或FROM <image>@<digest> [AS <name>] 。

任何 Dockerfile 中第一条指令必须为 FROM 指令。 并且， 如果在同 一个 Dockerfle 中创建多个镜像时， 可以使用多个 FROM 指令（每个镜像一次）。

为了保证镜像精简， 可以选用体积较小的镜像如 Alpine或Debian 作为基础镜像。 例如：

ARG VERSION=9.3
FROM debian:${VERSION}

LABEL

LABEL 指令可以为生成的镜像添加元数据标签信息。 这些信息可以用来辅助过滤出特定镜像。

格式为 LABEL <key>=<value> <key>=<value> <key>=<value> ...。

例如：

LAEL version="l.0.0-rc3"
LAEL author="[email protected]" date="2020-01-01"
LAEL description="This text illustrates\that label-values can span multiple lines."

EXPOSE

声明镜像内服务监听的端口。

格式为 EXPOSE <part> [<port/<protocol>...]。

例如：
EXPOSE 22 80 8443

注意该指令只是起到声明作用， 并不会自动完成端口映射。如果要映射端口出来， 在启动容器时可以使用 -P 参数 (Docker 主机会自动分配一个宿主机的临时端口）或 -p HOST_PORT:CONTAINER_PORT 参数（具体指定所映射的本地端口）。

ENV

指定环境变量， 在镜像生成过程中会被后续RU指令使用， 在镜像启动的容器中也会存在。
格式为 ENV <key> <value>或ENV <key>=<value>
例如：
ENV APP_VERS工ON=l.0.0
ENV APP_HOME=/usr/local/app
ENV PATH $PATH:/usr/local/bin

指令指定的环境变量在运行时可以被覆盖掉， 如 docker run --env <key>=<value> built_image。

注意当一条 ENV 指令中同时为多个环境变量赋值并且值也是从环境变量读取时， 会为变量都赋值后再更新。 如下面的指令， 最终结果为 key1=valuel key2=value2:

EN keyl;value2
ENV keyl;valuel key2;${key1)

ENTRYPOINT

指定镜像的默认入口命令， 该入口命令会在启动容器时作为根命令执行， 所有传人值作为该命令的参数。

支持两种格式：

• ENTRYPOINT ["executable", "paraml ", "param2"]: exec 调用执行；
   
• ENTRYPOINT command param 1 param2: shell 中执行。

此时， CMD指令指定值将作为根命令的参数。

每个 Dockerfile 中只能有一个 ENTRYPOINT, 当指定多个时， 只有最后一个起效。在运行时， 可以被 --entrypoint 参数覆盖掉， 如 docker run --entrypoint。

VOLUME

创建一个数据卷挂载点。格式为 VOLUE ["/data"]。运行容器时可以从本地主机或其他容器挂载数据卷， 一般用来存放数据库和需要保持的数据等。

USER

指定运行容器时的用户名或UID, 后续的RUN等指令也会使用指定的用户身份。

格式为 USER daemon。

当服务不需要管理员权限时，可以通过该命令指定运行用户， 并且可以在 Dockerfile 中创建所需要的用户 。 例如：

RUN groupadd -r postgres && useradd --no-log-init -r -g postgres postgres

要临时获取管理员权限可以使用 gosu 命令 。

WORKDIR

为后续的 RUN 、 CMD 、 ENTRYPOINT 指令配置工作目录 。

格式为 WORKDIR /path/to/workdir 。

可以使用多个 WORKDIR 指令，后续命令如果参数是相对路径， 则会基于之前命令指定的路径 。 例如 ：

WORKDIR /a
WORKDIR b
WORKDIR c
RUN pwd

则最终路径为/a /b /c 。

因此，为了避免出错，推荐 WORKDIR 指令中只使用绝对路径 。

ONBUILD

指定当基于所生成镜像创建子镜像时，自动执行的操作指令 。

格式为 ONBUILD [INSTRUCTION ］ 。

例如，使用如下的 Dockerfile 创建父镜像 Parent Image ，指定 ONBUILD 指令 ：

# Dockerfile for Parentimage
[...]
ONBUILD ADD . / app/src
ONBUILD RUN /usr/local/bin/python build --dir /app/src
[...]

使用 docker build 命令创建子镜像 Child Image 时（ FROM Parentimage ），会首先执行 Parent Image 中配置的 ONBUILD 指令 ：

# Dockerfile for Childimage
FROM Parent i mage

等价于在 Childimage 的 Dockerfile 中添加了如下指令 ：

#Automatically run the following when building ChildImage
ADD . / app/src
RUN /usr/local/ bin /python-build --dir /app/src

由于 ONBUILD 指令是隐式执行的，推荐在使用它的镜像标签中进行标注， 例如 ruby:2.1-onbuild 。

ONBUILD 指令在创建专门用于自动编译、检查等操作的基础镜像时，十分有用 。

STOPSIGNAL

指定所创建镜像启动的容器接收退出的信号值 ：
STOPSIGNAL signal

HEALTHCHECK

配置所启动容器如何进行健康检查（如何判断健康与否），自 Docker 1.12 开始支持 。格式有两种 ：

• HEALTHCHECK [OPTIONS] CMD command ：根据所执行命令返回值是否为 0 来判断 ；
   
• HEALTHCHECK NONE ：禁止基础镜像中的健康检查 。

OPTION 支持如下参数 ：

• － interval = DURAT 工 ON (default: 30s ）：过多久检查一次 ；
• － timeout=DURATION (default: 30s ） ： 每次检查等待结果的超时；
• － retries =N (default : 3 ）：如果失败了，重试几次才最终确定失败 。

SHELL

指定其他命令使用 shell 时的默认 shell 类型：

SHELL [” executable”,”parameters ”]

默认值为 ［"/bin/sh","-c"]。

对于 Windows 系统， Shell 路径中使用了“＼”作为分隔符，建议在 Dockerfile 开头添-加＃escape='来指定转义符 。

操作指令

RUN

运行指定命令 。

格式为 RUN <command＞或 RUN [ "executable " , ” param1” , ” param2"] 。 注意后者指令会被解析为 JSON 数组，因此必须用双引号 。 前者默认将在 shell 终端中运行命令，即/bin/sh -c ； 后者则使用 exec 执行，不会启动 shell 环境 。

指定使用其他终端类型可以通过第二种方式实现，例如 RUN [”/bin/bash",” - C",” echo hello ”］ 。

每条 RUN 指令将在当前镜像基础上执行指定命令，并提交为新的镜像层 。 当命令较长时可以使用＼来换行。 例如：

RUN apt-get update \
&& apt-get install -y libsnappy-dev zliblg-dev libbz2-dev \
&& rm -rf /var/cache/apt \
&& rm rf /var/lib/apt/lists/*

CMD

CMD 指令用来指定启动容器时默认执行的命令 。

支持三种格式：

• CMD ［"executable"，” param1” ， "param2 "］：相当于执行 executable param 1 param2 ，推荐方式；
• CMD command paraml param2 ：在默认的 Shell 中执行，提供给需要交互的应用；
• CMD ［ "param1”，” param2 ＂ ］ ：提供给 ENTRYPOINT 的默认参数 。

每个 Dockerfile 只能有一条 CMD 命令 。 如果指定了多条命令，只有最后一条会被执行。如果用户启动容器时候手动指定了运行的命令（作为 ru口命令的参数），则会覆盖掉CMD 指定的命令 。

ADD

添加内容到镜像。

格式为 ADD <src> <dest> 。

该命令将复制指定的<src>路径下内容到容器中的<dest>路径下 。

其中<src>可以是 Dockerfile 所在目录的一个相对路径（文件或目录）；也可以是一个URL ；还可以是一个 tar 文件（自动解压为目录） <dest ＞可以是镜像内绝对路径，或者相对于工作目录（ WORK.DIR）的相对路径 。路径支持正则格式，例如：

ADD *.c /code/

COPY

复制内容到镜像 。
格式为 COPY <src> <dest> 。
复制本地主机的<src> （为 Dockerfile 所在目录的相对路径，文件或目录）下内容到镜
像中的<dest>。目标路径不存在时，会自动创建 。
路径同样支持正则格式。

COPY 与 ADD 指令功能类似，当使用本地目录为源目录时，推荐使用 COPY 。

创建镜像

编写完成 Docker企le 之后，可以通过 docker [image] build 命令来创建镜像 。

基本的格式为 docker build [OPTIONS] PATH | URL I - 。

该命令将读取指定路径下（包括子目录）的 Dock巳rfile ，并将该路径下所有数据作为上下文（ Context）发送给 Docker 服务端 。 Docker 服务端在校验 Dockerfile 格式通过后，逐条执行其中定义的指令，碰到 ADD 、 COPY 和 RUN 指令会生成一层新的镜像。 最终如果创建镜像成功，会返回最终镜像的 ID 。

如果上下文过大， 会导致发送大量数据给服务端，延缓创建过程 。 因此除非是生成镜像所必需的文件，不然不要放到上下文路径下 。 如果使用非上下文路径下的 Dockerfile ，可以通过 -f 选项来指定其路径 。

要指定生成镜像的标签信息，可以通过 － t 选项 。 该选项可以重复使用多次为镜像一次添加多个名称 。

例如，上下文路径为／tmp/docker_builder／，并且希望生成镜像标签为 builder/first_image:1.0.0,可以使用下面的命令 ：

docker build -t builder/first_image:l.0.0 /tmp/docker_builder/

命令选项

docker [image ] build 命令支持一系列的选项，可以调整创建镜像过程的行为。

选择父镜像

大部分情况下，生成新的镜像都需要通过 FROM 指令来指定父镜像。 父镜像是生成镜像的基础 ，会直接影响到所生成镜像的大小和功能 。用户可 以选择两种镜像作为父镜像，一种是所谓的基础镜像（ baseimage），另外一种是普通的镜像（往往由第三方创建，基于基础镜像） 。

基础镜像 比较特殊，其 Dockerfile 中往往不存在 FROM 指令，或者基于 scratch 镜像(FROM scratch ），这意味着其在整个镜像树中处于根的位置 。

下面的 Dockerfile 定义了一个简单的基础镜像，将用户提前编译好的二进制可执行文件binary 复制到镜像中，运行容器时执行 binary 命令：

普通镜像也可以作为父镜像来使用， 包括常见的 busybox 、 debian 、 ubuntu 等 。Docker 不同类型镜像之间的继承关系如图：

使用 .dockerignore 文件

可 以通过 .dockerignore 文件（每一行添加一条匹配模式）来让 Docker 忽略匹配路径或文件，在创建镜像时候不将无关数据发送到服务端。

例如下面的例子中包括了 6 行忽略的模式（第一行为注释）：

*/temp*
*/*/temp*
tmp?
-*
Dockerfile
!README.md

多步骤创建

自 17.05 版本开始， Docker 支持多步骤镜像创建（ Multi-stage build ）特性，可以精简最终生成的镜像大小 。

对于需要编译的应用（如 C 、 Go 或 Java 语言等）来说，通常情况下至少需要准备两个环境的 Docker 镜像：

使用多步骤创建，可以在保证最终生成的运行环境镜像保持精筒的情况下，使用单一的Dockerfile ，降低维护复杂度 。

以 Go 语言应用为例 。 创建干净目录，进入到目录中，创建 main.go 文件，内容为：

// main.go will output ”Hello, Docker"
package main
import (
” fmt"
）

func main () {
fmt.Println ( "Hello, Docker ")
}

创建 Dockerfile ，使用 golang:1.9 镜像编译应用二进制文件为 app ，使用精简的镜像alpine:latest 作为运行环境 。 Dock巳rfi le 完整内容为：

最佳实践

所谓最佳实践，就是从需求出发，来定制适合自己 、高效方便的镜像 。首先，要尽量吃透每个指令的含义和执行效果，多编写一些简单的例子进行测试，弄清楚了再撰写正式的 Dockerfile 。 此外， Docker Hub 官方仓库中提供了大量的优秀镜像和对应的 Dockefile ，可以通过阅读它们来学习如何撰写高效的 Dockerfile 。