Docker 镜像与容器的核心概念

Docker 镜像是轻量级、可执行的独立软件包，包含运行某个软件所需的所有内容，包括代码、运行时环境、系统工具和库。镜像是静态的，类似于面向对象编程中的“类”。

Docker 容器是镜像的运行实例，可以被启动、停止、删除等。容器是动态的，类似于面向对象编程中的“对象”。容器之间相互隔离，保证安全性和稳定性。

镜像与容器的关系

镜像是容器的模板，容器是镜像的运行实例。一个镜像可以创建多个容器，这些容器相互独立。镜像通过分层存储实现高效复用，容器则在镜像的最上层添加可写层。

镜像的分层结构

Docker 镜像采用联合文件系统（UnionFS）分层存储。每一层是只读的，最上层是可写层。分层结构使得镜像可以共享相同的基础层，节省存储空间和提升构建效率。

基础镜像（Base Image）是最底层的镜像，通常是一个最小化的操作系统。应用镜像在基础镜像上添加应用代码和依赖。分层结构使得镜像构建时可以缓存中间层，加速后续构建过程。

容器的生命周期管理

容器从镜像创建后进入运行状态，可以通过命令管理其生命周期。常用命令包括启动（docker start）、停止（docker stop）、重启（docker restart）和删除（docker rm）。

容器运行时产生的数据默认是临时的，删除容器后数据会丢失。可以通过数据卷（Volume）或绑定挂载（Bind Mount）实现数据持久化。

镜像构建最佳实践

编写高效的 Dockerfile 是构建高质量镜像的关键。使用 .dockerignore 文件排除不必要的文件，减少构建上下文大小。多阶段构建可以显著减小最终镜像的大小。

# 示例多阶段构建 Dockerfile
FROM golang:1.16 AS builder
WORKDIR /app
COPY . .
RUN go build -o myapp .

FROM alpine:latest  
WORKDIR /root/
COPY --from=builder /app/myapp .
CMD ["./myapp"]

容器编排与扩展

单个容器通常无法满足生产环境需求，需要容器编排工具管理多个容器。Docker Compose 适合开发环境，Kubernetes 适合生产环境。这些工具可以管理容器的部署、扩展和网络。

安全注意事项

使用官方镜像作为基础镜像，定期更新镜像以获取安全补丁。避免在容器中以 root 身份运行进程。扫描镜像中的漏洞，使用最小的基础镜像减少攻击面。

性能优化技巧

选择合适的基础镜像大小，Alpine Linux 通常比 Ubuntu 更轻量。合并 RUN 指令减少镜像层数。使用 --no-cache 选项避免使用缓存的中间层构建镜像。

监控与日志管理

容器产生的日志可以通过 docker logs 命令查看。对于生产环境，需要将日志集中收集和分析。监控容器的资源使用情况，设置合理的资源限制防止单个容器占用过多资源。