生产镜像最佳实践
使用多阶段构建和非 root 用户
生产镜像最佳实践 是 CoddyKit 上的免费 Django Academy 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 Django Academy 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 Django Academy 课程共包含 4 节课。
更小、更安全的镜像
生产镜像应该小巧且安全。更精简的镜像传输更快、启动更迅速，也会减少攻击者可利用的目标。🛡️
使用多阶段构建
多阶段构建会在一个阶段编译依赖项，然后只将结果复制到干净的最终镜像中。
FROM python:3.12 AS builder
FROM python:3.12-slim AS final只复制所需内容
从构建阶段中使用 COPY --from 只复制已安装的软件包，将编译器和构建过程中产生的无用文件留在原处。
COPY --from=builder /usr/local/lib/python3.12 /usr/local/lib/python3.12永远不要以根用户运行
创建一个非根用户 USER，这样即使进程遭到入侵，也无法随意修改容器或主机。
RUN adduser --disabled-password appuser
USER appuser固定版本
在 requirements.txt 中固定确切的版本，这样构建结果可复现，也不会因意外更新而中断。
Django==5.0.6
gunicorn==22.0.0不要将密钥放入镜像
在运行时通过环境变量传递密钥，绝不要将密钥或密码直接写入镜像。
SECRET_KEY=${SECRET_KEY}添加健康检查
HEALTHCHECK 可以让编排器知道您的容器是否真正处于运行状态并能处理请求。
HEALTHCHECK CMD curl -f http://localhost:8000/health || exit 1将 DEBUG 设置为 False
生产环境始终使用 DEBUG=False，这样错误页面就不会向用户泄露代码、设置或堆栈跟踪信息。
DEBUG = False为发布版本添加标签
为镜像添加真实的版本标签，而不只是使用 latest，这样您始终确切知道部署的内容，也可以回滚。
docker build -t myapp:1.4.0 .扫描漏洞
对构建好的镜像运行扫描，尽早发现基础镜像和依赖项中的已知漏洞。
docker scout cves myapp:1.4.0利用缓存安排层顺序
将很少变化的步骤放在前面，把代码放在最后，这样大多数重新构建都能复用缓存的层并快速完成。
快速检查
哪种做法最能直接缩小最终的生产镜像？
回顾
您已加固镜像：采用多阶段构建、使用非根用户、固定版本、在运行时传递密钥、添加健康检查，并关闭 DEBUG。已准备好用于生产环境！🏁
用 AI 导师学习 Python — 免费
在浏览器中编写并运行真实代码，获得全天候 AI 导师的即时帮助，并在网页或应用中继续学习。
- 课程
- 30
- 课程
- 120
常见问题解答
「生产镜像最佳实践」课时是免费的吗？
是的 — 「生产镜像最佳实践」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 Django Academy 课程的其余内容，请升级到 CoddyKit PRO。 Django Academy 课程共包含 4 节课。
「生产镜像最佳实践」这节课中我会学到什么？
使用多阶段构建和非 root 用户 你通过在浏览器中直接运行的动手代码来练习 Django Academy，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 Django Academy 需要有经验吗？
无需任何先前经验。CoddyKit 上的 Django Academy 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「生产镜像最佳实践」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 Django Academy 课中编写并运行代码吗？
能。每节 Django Academy 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。