PHP应用的Docker多阶段构建（Multi-stage Build）：减小镜像体积与提高安全性 - 智猿学院-前后端，数据库，人工智能，云计算等领域前沿技术讲座

PHP应用的Docker多阶段构建：减小镜像体积与提高安全性

大家好，今天我们来聊聊如何利用 Docker 的多阶段构建来优化 PHP 应用的镜像，重点在于减小镜像体积和提高安全性。

传统的 Dockerfile 构建方式，通常会将所有依赖、工具、编译环境等都打包到最终的镜像中。这导致镜像体积庞大，包含了很多运行时不需要的东西，增加了部署难度和安全风险。多阶段构建就是为了解决这个问题而生的。

什么是多阶段构建？

多阶段构建允许你在一个 Dockerfile 中使用多个 FROM 指令。每个 FROM 指令代表一个独立的构建阶段。你可以将一个阶段的输出复制到另一个阶段，从而只保留最终镜像所需的最小化文件。

多阶段构建的基本原理

想象一下，你需要盖一栋房子。传统方式是，你把所有建材、工具、工人全部堆到地基上，然后慢慢盖。多阶段构建就像是你先在一个临时工地上准备好预制板，然后在正式工地上直接组装，大大提高了效率，也避免了把所有东西都堆在最终的工地上。

在 Docker 中，你可以理解为：

构建阶段（Build Stage）： 在这个阶段，你安装所有需要的依赖、编译代码、运行测试等等。这个阶段的镜像通常很大，因为它包含了所有开发工具和依赖。
运行时阶段（Runtime Stage）： 这个阶段使用一个更小的、更精简的基础镜像，并将构建阶段的必要文件复制过来。最终的镜像只包含运行时所需的最小化文件。

多阶段构建的优势

减小镜像体积： 镜像体积越小，下载速度越快，存储成本越低，启动速度也更快。
提高安全性： 镜像只包含运行时所需的最小化文件，减少了攻击面。例如，不再需要包含构建工具，攻击者就无法利用这些工具来做恶意的事情。
简化 Dockerfile： 将构建过程分解成多个阶段，使 Dockerfile 更易于理解和维护。
提高构建速度： 可以利用 Docker 的缓存机制，只重新构建发生变化的阶段。

一个简单的 PHP 应用的多阶段构建示例

假设我们有一个简单的 PHP 应用，它只有一个 index.php 文件：

<?php

echo "Hello, Docker!";

?>

下面是一个使用多阶段构建的 Dockerfile：

# 构建阶段：使用 PHP 官方的 Composer 镜像，包含 PHP 和 Composer
FROM composer:latest AS composer

# 设置工作目录
WORKDIR /app

# 将 composer.json 和 composer.lock 复制到工作目录
COPY composer.json composer.lock ./

# 安装依赖
RUN composer install --no-dev --optimize-autoloader --no-interaction --no-plugins --no-scripts

# 构建阶段：使用 PHP 8.2 的 FPM 镜像，包含 PHP 和必要的扩展
FROM php:8.2-fpm-alpine AS builder

# 安装必要的扩展
RUN apk add --no-cache $PHPIZE_DEPS 
    && docker-php-ext-install pdo_mysql 
    && pecl install xdebug 
    && docker-php-ext-enable xdebug

# 设置工作目录
WORKDIR /var/www/html

# 将应用代码复制到工作目录
COPY . .

# 将 vendor 目录从 composer 阶段复制过来
COPY --from=composer /app/vendor ./vendor

# 运行时阶段：使用 Alpine Linux 作为基础镜像
FROM nginx:alpine AS runtime

# 将 nginx 配置文件复制到镜像中
COPY ./docker/nginx/default.conf /etc/nginx/conf.d/default.conf

# 将 builder 阶段的应用代码复制到 Nginx 的 web 目录
COPY --from=builder /var/www/html /var/www/html

# 设置工作目录
WORKDIR /var/www/html

# 设置容器启动命令
CMD ["nginx", "-g", "daemon off;"]

Dockerfile 代码详解

FROM composer:latest AS composer: 定义第一个构建阶段，使用 composer:latest 镜像作为基础镜像。AS composer 给这个阶段命名为 "composer"，方便后续阶段引用。这个镜像已经包含了 PHP 和 Composer，用于安装 PHP 的依赖。
WORKDIR /app: 设置工作目录为 /app。
COPY composer.json composer.lock ./: 将 composer.json 和 composer.lock 文件复制到工作目录。
RUN composer install --no-dev --optimize-autoloader --no-interaction --no-plugins --no-scripts: 运行 Composer 安装依赖。
- --no-dev: 不安装开发依赖，只安装生产环境所需的依赖。
- --optimize-autoloader: 优化自动加载器，提高性能。
- --no-interaction: 非交互模式，避免 Composer 询问问题。
- --no-plugins: 禁用插件。
- --no-scripts: 禁用脚本。
FROM php:8.2-fpm-alpine AS builder: 定义第二个构建阶段，使用 php:8.2-fpm-alpine 镜像作为基础镜像。AS builder 给这个阶段命名为 "builder"。这个镜像包含 PHP 和 FPM (FastCGI Process Manager)，用于运行 PHP 代码。 alpine版本体积非常小，适合作为基础镜像。
RUN apk add --no-cache $PHPIZE_DEPS ...: 安装必要的扩展。
- apk add --no-cache: 使用 Alpine Linux 的包管理器 apk 安装软件包，--no-cache 选项可以减少镜像体积。
- $PHPIZE_DEPS: 这是一个环境变量，包含了编译 PHP 扩展所需的依赖。
- docker-php-ext-install pdo_mysql: 安装 pdo_mysql 扩展，用于连接 MySQL 数据库。
- pecl install xdebug: 安装 xdebug 扩展，用于调试。
- docker-php-ext-enable xdebug: 启用 xdebug 扩展。
WORKDIR /var/www/html: 设置工作目录为 /var/www/html。
COPY . .: 将当前目录下的所有文件复制到工作目录。
COPY --from=composer /app/vendor ./vendor: 从 "composer" 阶段复制 vendor 目录到当前目录。--from=composer 指定了源阶段。
FROM nginx:alpine AS runtime: 定义第三个构建阶段，使用 nginx:alpine 镜像作为基础镜像。AS runtime 给这个阶段命名为 "runtime"。这个镜像包含 Nginx，用于提供 Web 服务。
COPY ./docker/nginx/default.conf /etc/nginx/conf.d/default.conf: 将 Nginx 配置文件复制到镜像中。
COPY --from=builder /var/www/html /var/www/html: 从 "builder" 阶段复制应用代码到 Nginx 的 web 目录。
WORKDIR /var/www/html: 设置工作目录为 /var/www/html。
CMD ["nginx", "-g", "daemon off;"]: 设置容器启动命令，启动 Nginx。

Nginx 配置文件 (docker/nginx/default.conf)

server {
    listen 80;
    index index.php index.html;
    error_log  /var/log/nginx/error.log;
    access_log /var/log/nginx/access.log;
    root /var/www/html;

    location ~ .php$ {
        try_files $uri =404;
        fastcgi_split_path_info ^(.+.php)(/.+)$;
        fastcgi_pass 127.0.0.1:9000;
        fastcgi_index index.php;
        include fastcgi_params;
        fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
        fastcgi_param PATH_INFO $fastcgi_path_info;
    }
}

构建和运行镜像

构建镜像：
```
docker build -t my-php-app .
```
运行镜像：
```
docker run -d -p 8080:80 my-php-app
```
现在，你可以通过浏览器访问 http://localhost:8080 来查看应用。

多阶段构建的进阶技巧

利用 Docker 缓存： Docker 会缓存每个阶段的构建结果。如果一个阶段的 Dockerfile 没有发生变化，Docker 会直接使用缓存，而不会重新构建。这可以大大提高构建速度。
- 优化 Dockerfile 顺序： 将变化频率较低的指令放在 Dockerfile 的前面，变化频率较高的指令放在后面。例如，先复制依赖文件，再复制代码文件。
使用 .dockerignore 文件： .dockerignore 文件用于排除不需要复制到镜像中的文件和目录。这可以减少镜像体积，提高构建速度。
- 例如，你可以排除 node_modules 目录、开发工具、测试文件等。
使用多架构支持 (Buildx)： docker buildx 允许你构建多架构镜像，可以在不同的平台上运行。
```
docker buildx build --platform linux/amd64,linux/arm64 -t my-php-app . --push
```

安全方面的考虑

选择安全的基础镜像： 选择官方的、维护良好的基础镜像，并定期更新。
使用最小权限原则： 尽量使用非 root 用户运行应用。
移除不必要的工具和依赖： 只保留运行时所需的最小化文件。
使用静态代码分析工具： 在构建过程中使用静态代码分析工具，检测代码中的安全漏洞。
配置防火墙： 使用防火墙限制容器的网络访问。

示例：使用非 root 用户运行 PHP 应用

在上面的 Dockerfile 中，我们可以添加以下内容，使用非 root 用户运行 PHP 应用：

# 在 builder 阶段创建用户和组
RUN addgroup -g 1000 www
RUN adduser -u 1000 -G www -s /bin/sh www

# 修改应用代码的权限
RUN chown -R www:www /var/www/html

# 切换到 www 用户
USER www

表格总结：多阶段构建的优势与注意事项

特性/方面	优势	注意事项
镜像体积	显著减小，只包含运行时必需的文件。	精确定义运行时依赖，避免包含不必要的文件。使用 `.dockerignore` 排除不必要的文件和目录。
安全性	减少攻击面，移除开发工具和不必要的依赖。隔离构建环境和运行时环境。	选择安全的基础镜像，定期更新。使用最小权限原则。移除敏感信息，例如 API 密钥、数据库密码等。
Dockerfile	更清晰、模块化，易于理解和维护。构建过程分解成多个阶段。	合理规划构建阶段，避免重复操作。注释 Dockerfile，方便他人理解。
构建速度	利用 Docker 缓存，只重新构建发生变化的阶段。	优化 Dockerfile 顺序，将变化频率较低的指令放在前面。使用多架构支持时，构建时间可能会增加。
资源消耗	减少存储空间和网络带宽消耗。	构建过程中可能需要更多的 CPU 和内存资源。
适用场景	所有需要构建 Docker 镜像的 PHP 应用，特别是大型应用和需要高性能的应用。适用于需要频繁部署的应用。	需要对 Docker 构建过程有一定的了解。

实际案例：一个复杂的 Laravel 应用的多阶段构建

对于一个复杂的 Laravel 应用，多阶段构建的 Dockerfile 可能会更加复杂，但基本原理相同。以下是一个示例：

# 构建阶段：使用 Node.js 镜像构建前端资源
FROM node:16 AS node

WORKDIR /app

COPY package*.json ./
RUN npm install

COPY . .
RUN npm run production

# 构建阶段：使用 PHP 镜像安装依赖和编译代码
FROM composer:latest AS composer

WORKDIR /app

COPY composer.json composer.lock ./
RUN composer install --no-dev --optimize-autoloader --no-interaction --no-plugins --no-scripts

COPY . .

# 运行时阶段：使用 PHP-FPM 镜像运行 PHP 代码
FROM php:8.2-fpm-alpine AS app

WORKDIR /var/www/html

# 安装必要的扩展
RUN apk add --no-cache $PHPIZE_DEPS 
    && docker-php-ext-install pdo_mysql

COPY --from=composer /app/vendor ./vendor
COPY --from=node /app/public ./public
COPY . .

# 设置权限
RUN chown -R www-data:www-data /var/www/html/storage /var/www/html/bootstrap/cache
RUN chmod -R 775 /var/www/html/storage /var/www/html/bootstrap/cache

# 运行时阶段：使用 Nginx 镜像提供 Web 服务
FROM nginx:alpine

WORKDIR /var/www/html

COPY --from=app /var/www/html ./

COPY ./docker/nginx/default.conf /etc/nginx/conf.d/default.conf

EXPOSE 80

CMD ["nginx", "-g", "daemon off;"]

总结：精简、安全，多阶段构建是提升应用质量的关键

多阶段构建是优化 PHP 应用 Docker 镜像的有效方法，它通过分离构建和运行时环境，显著减小镜像体积，提高安全性，并简化 Dockerfile 的维护。掌握多阶段构建技巧，能有效提升应用的部署效率和安全性。

PHP应用的Docker多阶段构建：减小镜像体积与提高安全性

发表回复 取消回复

发表回复取消回复