Hexo 博主的 Markdown 语法宝典

Docker Node
Docker
文章字数:   1.9k
阅读时长:   7 分

对于现代 Web 开发而言，Docker 是一款功能强大的工具，可用于打包和部署应用程序。 它能够将您的 Node.js 应用程序及其所有依赖项打包到一个可移植的容器中，从而确保在从开发到生产的任何环境中都能拥有一致的运行效果。

然而，要想充分发挥 Docker 的优势，仅仅是能够运行应用程序是远远不够的。您还需要关注镜像大小、构建速度、安全性和性能等方面。本文将深入探讨在 Docker 容器中运行 Node.js 应用程序的一些最佳实践，并通过代码示例和案例分析，帮助您构建更小、更快、更安全的 Node.js Docker 镜像。

核心原则：小、快、稳、安全

在深入探讨具体技术细节之前，我们先来明确几个核心原则：

  • 镜像最小化: 镜像越小，拉取和部署的速度就越快，同时也减少了潜在的攻击面。
  • 构建速度: 快速的构建能够提升开发效率，尤其是在持续集成/持续部署 (CI/CD) 流程中。
  • 运行稳定性: 确保应用程序在容器中能够稳定运行，并能优雅地处理进程信号。
  • 安全性: 容器安全是生产环境中至关重要的一环，需要从多个层面进行加固。

一、精简你的 Dockerfile

Dockerfile 是构建 Docker 镜像的蓝图。一个精心编写的 Dockerfile 是优化的第一步。

1. 选择合适的基础镜像

选择一个体积小且安全的基础镜像是至关重要的。 避免使用 node:latest 这样的标签，因为它会导致构建的不确定性。 推荐使用官方提供的特定版本的 alpine 镜像，例如 node:20-alpine。 Alpine Linux 是一个非常轻量级的发行版，可以显著减小镜像体积。

错误示范：

FROM node

正确示范：

FROM node:20-alpine

需要注意的是，由于 alpine 镜像非常精简，可能会缺少一些 Node.js 模块在编译时所依赖的系统库。这种情况下，您需要通过 apk add 命令手动安装。

2. 利用 .dockerignore 文件

与 .gitignore 类似，.dockerignore 文件可以帮助您排除不需要复制到镜像中的文件和目录，例如 node_modules、npm-debug.log、.git 等。 这可以有效减小构建上下文 (build context) 的大小，加快构建速度。

创建一个名为 .dockerignore 的文件，并添加以下内容：

.git
.gitignore
node_modules
npm-debug.log
Dockerfile
.dockerignore

3. 优化依赖安装

在生产环境中，您只需要 dependencies 而不需要 devDependencies。 使用 npm ci 代替 npm install 可以在持续集成环境中实现更可预测和更快的构建。 npm ci 会直接使用 package-lock.json 文件来安装依赖，确保了依赖版本的一致性。

Dockerfile 指令：

COPY package*.json ./
RUN npm ci --only=production

二、多阶段构建 (Multi-stage Builds)

多阶段构建是优化 Docker 镜像大小的利器。 它允许您在一个 Dockerfile 中使用多个 FROM 指令。 每个 FROM 指令都开启一个新的构建阶段。您可以将构建应用程序所需的所有开发依赖和工具放在一个临时的构建阶段，然后只将最终生成的纯净的应用程序代码和生产依赖复制到最终的生产镜像中。

这种方式可以确保最终的生产镜像不包含任何不必要的开发工具和依赖，从而大大减小镜像体积并提高安全性。

案例：一个 Express 应用的多阶段构建 Dockerfile

假设我们有一个简单的 Express 应用，目录结构如下：

.
├── app.js
├── package.json
└── package-lock.json

Dockerfile:

# ---- 构建阶段 ----
FROM node:20-alpine AS builder

WORKDIR /usr/src/app

COPY package*.json ./
RUN npm install

COPY . .

# 假设您的应用有构建步骤，例如转译 TypeScript
# RUN npm run build

# ---- 生产阶段 ----
FROM node:20-alpine AS production

WORKDIR /usr/src/app

# 从构建阶段复制生产依赖
COPY --from=builder /usr/src/app/node_modules ./node_modules
COPY --from=builder /usr/src/app/package*.json ./
COPY --from=builder /usr/src/app/app.js ./app.js

# 如果有构建产物，也需要复制
# COPY --from=builder /usr/src/app/dist ./dist

EXPOSE 3000

CMD [ "node", "app.js" ]

解析：

  1. builder 阶段:
    • 使用 node:20-alpine 作为基础镜像，并将其命名为 builder。
    • 设置工作目录。
    • 复制 package.json 和 package-lock.json 并安装所有依赖（包括开发依赖）。
    • 复制应用程序的其余代码。
  2. production 阶段:
    • 再次使用 node:20-alpine 作为基础镜像。
    • 从 builder 阶段选择性地复制必要的文件：
      • node_modules：只包含生产依赖的模块。
      • package.json 和 package-lock.json。
      • 应用程序的入口文件 app.js。
    • 暴露应用程序端口。
    • 设置容器启动命令。

通过这种方式，最终的 production 镜像将非常小，因为它只包含了运行应用程序所必需的文件。

三、安全最佳实践

确保容器安全是至关重要的，尤其是在生产环境中。

1. 以非 root 用户运行

默认情况下，Docker 容器内的进程是以 root 用户身份运行的。这是一个安全隐患。 如果应用程序被攻破，攻击者将获得容器的 root 权限，可能导致更严重的后果。

最佳实践是创建一个非 root 用户，并以该用户的身份运行应用程序。

在 Dockerfile 中添加以下指令：

# ... 在复制文件之前

# 创建一个非 root 用户
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# 切换到非 root 用户
USER appuser

2. 正确处理进程信号

Node.js 应用程序在作为容器的 PID 1 进程运行时，可能无法正确处理像 SIGTERM 和 SIGINT 这样的系统信号，这会导致应用程序无法优雅地关闭。

为了解决这个问题，您可以使用一个轻量级的 init 系统，例如 dumb-init。 dumb-init 会作为 PID 1 运行，并正确地将信号转发给您的 Node.js 进程。

在 Dockerfile 中安装和使用 dumb-init：

RUN apk add --no-cache dumb-init

# ...

# 使用 dumb-init 启动您的应用
CMD [ "dumb-init", "node", "app.js" ]

3. 设置 NODE_ENV=production

将环境变量 NODE_ENV 设置为 production 是一个非常重要的优化措施。 许多 Node.js 框架和库（例如 Express）会根据这个变量启用生产环境下的优化，例如缓存视图和减少日志输出。

在 Dockerfile 中设置环境变量：

ENV NODE_ENV=production

总结

将 Node.js 应用程序容器化不仅仅是创建一个能运行的 Docker 镜像。通过遵循本文介绍的最佳实践，您可以构建出更小、更快、更安全的 Docker 镜像，从而提升开发效率和生产环境的稳定性。

关键要点回顾：

  • 选择精简的基础镜像： 使用特定版本的 alpine 镜像。
  • 利用 .dockerignore： 减小构建上下文。
  • 优化依赖安装： 只安装生产依赖。
  • 拥抱多阶段构建： 分离构建环境和生产环境，减小镜像体积。
  • 以非 root 用户运行： 提升容器安全性。
  • 正确处理进程信号： 使用 dumb-init 实现优雅关闭。
  • 设置 NODE_ENV=production： 开启生产环境优化。

希望本文能帮助您在 Docker 中更好地运行 Node.js 应用程序。持续学习和实践这些技巧，您将能够更自信地构建和部署高效、安全的容器化应用。

Docker Node
  目录