最近公司需要将一个底层服务打包成docker镜像，作为征战docker一年的小白当然不能错过这次练手的好机会。简单介绍一下这个项目：该项目为一个纯restful风格的后端项目，后端由java开发、worker节点由python开发、管理员使用的命令行工具由rust开发。当完成这份工作后记录下了整个过程中的心得体会

从标题也可以看出，主要是针对编译型语言的docker镜像构建小技巧，下文则分别对java、rust构建过程中的总结

一、整体思路

对于构建docekr镜像的优化技巧无非就是漏洞足够少、体积足够小。对于项目代码或依赖的包的漏洞不在本次讨论的范围类，除去这类漏洞本文主要关心docker镜像基于的liunx内核漏洞，因此一个安全、无漏洞的linux基础镜像是很有必要，这里给几个我常用的基础镜像

镜像名	镜像大小	包管理
amazonlinux	194MB	yum
alpine	5MB	apk

amazonlinux是AWS提供的一个注重安全、稳定和高性能的执行环境来开发和运行云应用程序，完全免费且长期更新；alpine操作系统是一个面向安全的轻型Linux发行版，由非商业组织维护的，相比于其他Docker镜像，它的容量非常小，仅仅只有 5 MB 左右，且拥有非常友好的包管理机制。使用这类基础镜像构建出来的应用具备镜像下载速度加快，镜像安全性提高，主机之间的切换更方便，占用更少磁盘空间等。

对于镜像的漏洞则可以通过桌面版的Docker(Docker Desktop)更方便的查看，例如：

amazonlinux

alpine

而对于编译型语言开发的项目往往最终产物就是一个二进制文件，那么构建的思路则是将编译好的二进制文件放到相关的由alpine等镜像提供最基础依赖环境中即可，用到的就仅仅是docker的分层构建。下面则分别对java和rust构建的心得体会

二、构建 java 程序

公司java项目使用的包管理工具是maven，因此对于一个maven项目通常的构建流程就是：mvn package打包、java -jar运行，完成这两步最小依赖环境是java和maven，应用分层构建的思路第一步使用一个具备java和maven环境的基础镜像编译源代码，第二步拷贝第一步jar包到由alpine构建的jre镜像中运行。

很幸运阿里为我们提供了一个具备java和maven环境且使用阿里源的镜像，下载方式

docker pull registry.cn-hangzhou.aliyuncs.com/acs/maven:3-jdk-8

注：截止到文章发布，该镜像并没有支持jdk11已经更高的LTS版本

第一步编译源代码的Dockerfile如下

FROM registry.cn-hangzhou.aliyuncs.com/acs/maven:3-jdk-8 AS build-env

ENV MY_HOME=/app
RUN mkdir -p $MY_HOME
COPY . $MY_HOME

WORKDIR $MY_HOME/gateway

RUN ["/usr/local/bin/mvn-entrypoint.sh","mvn","package"]

第二步将需要拷贝第一步的jar

FROM openjdk:8-jre-alpine

# 更新内核
RUN apk update && apk upgrade

COPY --from=build-env /app/gateway/target/*.jar /gateway.jar

EXPOSE 1081

CMD ["java","-jar","/gateway.jar"]

注：

1. apk update && apk upgrade主要是在构建过程中尝试更新一下内核，可能会存在一些比较新的漏洞，开源社区对这类漏洞已经提供了补丁，但镜像并没有及时更新发布，这就需要我们手动更新一下
2. --from=build-env的作用就是分层构建的核心命令，只将我们需要的文件拷贝过来，最大化的减少镜像体积。同时复制过来的文件越少理论上漏洞越小

最终的Dockerfile文件如下

FROM registry.cn-hangzhou.aliyuncs.com/acs/maven:3-jdk-8 AS build-env

ENV MY_HOME=/app
RUN mkdir -p $MY_HOME
COPY . $MY_HOME

WORKDIR $MY_HOME/gateway

RUN ["/usr/local/bin/mvn-entrypoint.sh","mvn","package"]

####################################################################################################
## Final image
####################################################################################################
FROM openjdk:8-jre-alpine

# 更新内核
RUN apk update && apk upgrade

COPY --from=build-env /app/gateway/target/*.jar /gateway.jar

EXPOSE 1081

CMD ["java","-jar","/gateway.jar"]

构建完成后检查镜像漏洞信息

其漏洞基本都是spring相关的漏洞不用管(提给后端同学让他们去修即可，大概率都是升级版本)，且镜像的大小只有区区200MB不到

三、构建 rust 程序

rust程序的产物就是一个可执行的二进制程序，如果使用alpine来执行编译后的二进制程序大概率是报错的，因为alpine使用musl libc，其glibc在alpine不可用表现出来的现象就是缺少核心依赖，类比java就是没有把依赖打入jar中。因此rust在编译过程中需要使用x86_64-unknown-linux-musl以静态链接到rust程序中，而这部分和rust交叉编译是殊途同归的(在聊一聊我的第一个开源项目最后的交叉编译有涉及)。

FROM rust:latest as builder

RUN rustup target add x86_64-unknown-linux-musl

RUN apt update && apt upgrde && apt install -y musl-tools musl-dev

WORKDIR /

COPY . .

WORKDIR auth

RUN cargo build --target x86_64-unknown-linux-musl --release

####################################################################################################
## Final image
####################################################################################################
FROM alpine:latest

WORKDIR /auth

# Import from builder.
COPY --from=builder /auth/target/x86_64-unknown-linux-musl/release/auth ./

CMD ["echo","version:1.0.0 by superlab group"]

构建完成后检查镜像漏洞信息

小而安全