Co je build kontext a proč používat soubor .dockerignore?

Question

Accepted Answer

Když spustíte `docker build`, Docker odešle **build kontext** (soubory v adresáři buildu) do démona. Soubor **.dockerignore** vyloučí zbytečné soubory z tohoto kontextu — urychlí buildy, zmenší velikost image a zabrání úniku citlivých souborů.

## Build kontext

```bash
docker build -t myapp .     # the "." is the build context — the directory sent to the daemon
# → Docker tarballs the ENTIRE context directory and sends it to the daemon BEFORE building
# → a big context (node_modules, .git, large files) = slow builds, more data transferred
```

**Build kontext** je sada souborů, které Docker odešle do démona pro build image. Vše v adresáři buildu je zahrnuto, pokud není vyloučeno — takže přeplácnutý kontext zpomaluje každý build.

## .dockerignore — vyloučení zbytečných souborů

```text
# .dockerignore (like .gitignore, for the build context)
node_modules        # don't send local deps (they're installed in the image anyway)
.git                # don't send version history
*.log
.env                # ⚠️ don't send SECRETS into the build context/image
Dockerfile
dist
.vscode
```

`.dockerignore` funguje jako `.gitignore`, vylučuje soubory z build kontextu.

## Proč na tom záleží (tři výhody)

```text
✓ FASTER builds — a smaller context transfers faster; fewer files to process
  (also helps caching: COPY . . won't be invalidated by irrelevant file changes)
✓ SMALLER images — excluded files (node_modules, .git) don't get COPYed into the image
✓ SECURITY — keep SECRETS (.env, keys, credentials) out of the context AND the image
  (a COPY . . could otherwise copy a .env file into the image — a real leak risk)
```

## Proč na tom záleží

Rozmění build kontextu a `.dockerignore` je cenné pro **efektivní a bezpečné Docker buildy**, takže jde o prakticky užitečné znalosti.

Mnozí vývojáři si neuvědomují, že `docker build .` odešle **celý adresář build-kontextu do démona** před buildem — takže přeplácnutý kontext (obsahující `node_modules`, `.git`, build artefakty, velké soubory) způsobí **pomalejší buildy** (více dat k přenosu a zpracování) a riskuje kopírování nežádoucích souborů do image.

Soubor **`.dockerignore`** (fungující jako `.gitignore`) řeší tento problém třemi konkrétními výhodami: **rychlejší buildy** (menší kontext se přenáší a zpracovává rychleji a zlepšuje také cachování vrstev, protože `COPY . .` nebude zneplatněno změnami v irelevantních souborech), **menší image** (vyloučené soubory se nebudou kopírovat — např. nebundlování lokálních `node_modules`, které se stejně přeinstalují), a zásadně **bezpečnost** (udržování **tajemství jako `.env` soubory, klíče a přihlašovací údaje mimo build kontext a image** — protože `COPY . .` by jinak zkopíroval `.env` do image, skutečné a časté riziko úniku přihlašovacích údajů).

Tato bezpečnostní výhoda je obzvlášť důležitá, protože nechtěné vložení tajemství nebo citlivých souborů do image přes příliš širokou kopii je skutečná chyba, kterou `.dockerignore` pomáhá předcházet.

Protože se buildy dějí neustále a efektivita buildů, velikost image a vyhýbání se úniku tajemství mají všechny význam, a protože pochopení build kontextu a používání `.dockerignore` přímo zlepšuje všechny tři aspekty, je pochopení build kontextu a `.dockerignore` cenné, prakticky relevantní Docker znalosti — jednoduchá, ale důležitá praxe pro rychlé, štíhlé a bezpečné buildy, kterou lze snadno přehlédnout, ale která má smysluplný dopad, zvláště při předcházení nechtěného zahrnutí tajemství do image.