引言
对于dockerfile而言,何为完美? 我认为应该满足以下三点:
- 体积小
- 构建快
- 够安全
PS: 注意!从 Docker 17.05
版本起, Docker
才开始支持容器镜像的多阶段构建(multi-stage build),所以本文所使用 docker
版本必须高于 17.05
(多阶段构建的意思就是把编译的过程也放同一个 Dockerfile
里,不用在自己的开发机或服务器上编译,再把编译出的二进制程序打入镜像)
可联网的环境
根据官方的说法,从
Go 1.13
开始,模块管理模式将是 Go 语言开发的默认模式。
我们使用go mod 做包管理,就不需要有任何额外配置
FROM golang:1.13.5-alpine3.10 AS builder
WORKDIR /build
RUN adduser -u 10001 -D app-runner
ENV GOPROXY https://goproxy.cn
COPY go.mod .
COPY go.sum .
RUN go mod download
COPY . .
RUN CGO_ENABLED=0 GOARCH=amd64 GOOS=linux go build -a -o your-application .
FROM alpine:3.10 AS final
WORKDIR /app
COPY --from=builder /build/your-application /app/
#COPY --from=builder /build/config /app/config
COPY --from=builder /etc/passwd /etc/passwd
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/
USER app-runner
ENTRYPOINT ["/app/your-application"]
逐行拆解
这里的拆解完全引用 手把手教你写一个完美的Golang Dockerfile
首先,这个dockerfile分为builder和final两部分。
builder 选择了 golang:1.13.5-alpine3.10
作为编译的基础镜像,相比于 golang:1.13
, 一方面是因为它体积更小,另一方面是我发现 golang:1.13
的编译结果,在 alpine:3.10
中会报 not found
的错误,虽说有人提供了其它的解决方案,但是能直接避免,为啥不避免呢。
RUN adduser -u 10001 -D app-runner
接着是创建了一个 app-runner
的用户, -D
表示无密码。
此用户的信息是是需要拷到 final
中,作为应用程序的启动用户。这是为了避免使用 container
中的默认用户 root
,那可是有安全漏洞的,详细解释,可以参考这篇 medium
上的文章Processes In Containers Should Not Run As Root
再下面的四行,
ENV GOPROXY https://goproxy.cn
COPY go.mod .
COPY go.sum .
RUN go mod download
是配置了国内的代理,安装依赖包了。这里用 go mod download
的好处是下次构建镜像文件时,当go.mod和go.sum没有改变时,它是有缓存的,可以避免重复下载依赖包,加快构建。
builder的最后,就是把当前目录的文件拷过去,编译代码了。
COPY . .
RUN CGO_ENABLED=0 GOARCH=amd64 GOOS=linux go build -a -o your-application .
final
选择了 alpine:3.10
,一方面是体积小,只有 5m
;另一方面也是和构建镜像的 alpine
版本保持一致。
接下来几行没啥说的,就是把构建结果、配置文件(有的话)和用户的相关文件拷过去。
下面的这步一定不要忘记了,
USER app-runner
没有它, container
启动时就是用 root
用户启动了!!! 如果被攻击了,那黑客可是就有 root
权限了(不要问我为啥会被攻击)。
最后,设置一个 ENTRYPOINT
,完事!
如果你程序的启动过程比较复杂,或者是要在启动时根据环境变量的值做不同的操作,那还是写个 shell
文件吧。
离线打包
# Building stage
FROM golang:1.13.5-alpine3.10 AS builder
WORKDIR /build/src/your-application
RUN adduser -u 10001 -D app-runner
ENV GO111MODULE off
ENV GOPATH /build
COPY . .
RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -a -o your-application main.go
#RUN CGO_ENABLED=0 GOOS=linux GOARCH=arm64 go build -o your-application main.go
# Production stage
FROM alpine:3.10 AS final
WORKDIR /app
COPY --from=builder /build/src/your-application/example/linux /app
COPY --from=builder /build/src/your-application/your-application /app
#COPY --from=builder /build/src/your-application/conf /app/conf
RUN adduser -u 10001 -D app-runner
RUN chmod -R 755 /app
ENTRYPOINT ["/app/your-application"]
如果你的环境是内网,不能连接外网(不能联网),要从外部导入一个 go mod
项目,并运行的时候,肯定会 timeout
在下载项目依赖的包的阶段,实际上依赖包已经放到目录文件,不用下载也能正常运行。为了解决这一问题,我们只需要设置参数 GO111MODULE=off
,然后设置正确的 GOPATH
即可
ENV GO111MODULE off
ENV GOPATH /build
在代码库中需要提前把代码包的中 vendor
更新,在本地执行以下命令,并提交到代码库
go mod init your-application
go mod vendor
这样就会有离线的 vendor
代码库
|——vendor
└──github.com
└──golang.org
└──gopkg.in
└──modules.txt
GO111MODULE=off
无mod
支持,go
会从GOPATH
和vendor
文件夹寻找包。GO111MODULE=on
模块支持,go 会忽略GOPATH
和vendor
文件夹,只根据go.mod
下载依赖。GO111MODULE=auto
在$GOPATH/src
外面且根目录有go.mod
文件时,开启模块支持。
有可能会遇到的问题
docker镜像源速度慢
如果docker镜像拉取速度太慢,或者拉取不到,可以试试改为国内镜像源地址,参考这里
更新docker的yum源
如果你发现自己的docker
版本低,但是自己的源里面又没有想要的版本,那就需要更新官方的源
参考这里
引用
手把手教你写一个完美的Golang DockerfileGolang1.5到Golang1.12包管理:golang vendor 到 go mod
官方golang包管理神器,值得一试!go mod | 编程三分钟
评论