Apakah itu build context dan mengapa menggunakan fail .dockerignore?

Question

Accepted Answer

Apabila anda menjalankan `docker build`, Docker menghantar **build context** (fail-fail dalam direktori pembinaan) kepada daemon. Fail **.dockerignore** mengecualikan fail yang tidak diperlukan daripada konteks ini — mempercepat pembinaan, mengurangkan saiz imej, dan mengelakkan kebocoran fail sensitif.

## Build context

```bash
docker build -t myapp .     # the "." is the build context — the directory sent to the daemon
# → Docker tarballs the ENTIRE context directory and sends it to the daemon BEFORE building
# → a big context (node_modules, .git, large files) = slow builds, more data transferred
```

**Build context** ialah set fail yang dihantar Docker kepada daemon untuk membina imej. Semua yang ada dalam direktori pembinaan disertakan melainkan dikecualikan — jadi konteks yang membengkak melambatkan setiap pembinaan.

## .dockerignore — kecualikan fail yang tidak diperlukan

```text
# .dockerignore (like .gitignore, for the build context)
node_modules        # don't send local deps (they're installed in the image anyway)
.git                # don't send version history
*.log
.env                # ⚠️ don't send SECRETS into the build context/image
Dockerfile
dist
.vscode
```

`.dockerignore` berfungsi seperti `.gitignore`, mengecualikan fail daripada build context.

## Mengapa ia penting (tiga manfaat)

```text
✓ FASTER builds — a smaller context transfers faster; fewer files to process
  (also helps caching: COPY . . won't be invalidated by irrelevant file changes)
✓ SMALLER images — excluded files (node_modules, .git) don't get COPYed into the image
✓ SECURITY — keep SECRETS (.env, keys, credentials) out of the context AND the image
  (a COPY . . could otherwise copy a .env file into the image — a real leak risk)
```

## Mengapa ia penting

Memahami build context dan `.dockerignore` adalah bernilai untuk **pembinaan Docker yang cekap dan selamat**, jadi ia merupakan pengetahuan yang berguna secara praktikal.

Ramai pembangun tidak menyedari bahawa `docker build .` menghantar **keseluruhan direktori build-context kepada daemon** sebelum membina — jadi konteks yang membengkak (mengandungi `node_modules`, `.git`, artifak binaan, fail besar) menjadikan **setiap pembinaan lebih perlahan** (lebih banyak data untuk dipindahkan dan diproses) dan berisiko menyalin fail yang tidak diingini ke dalam imej.

Fail **`.dockerignore`** (yang berfungsi seperti `.gitignore`) menangani perkara ini dengan tiga manfaat konkrit: **pembinaan lebih pantas** (konteks yang lebih kecil dipindah dan diproses lebih pantas, dan juga menambah baik layer caching kerana `COPY . .` tidak akan dibatalkan oleh perubahan pada fail yang tidak relevan), **imej lebih kecil** (fail yang dikecualikan tidak disalin masuk — contohnya tidak membundel `node_modules` tempatan yang dipasang semula juga), dan yang paling penting **keselamatan** (menyimpan **secret seperti fail `.env`, kunci, dan kelayakan di luar build context dan imej** — kerana `COPY . .` sebaliknya akan menyalin `.env` ke dalam imej, satu risiko kebocoran kelayakan yang nyata dan biasa).

Manfaat keselamatan ini amat penting, kerana secara tidak sengaja membenamkan secret atau fail sensitif ke dalam imej melalui salinan yang terlalu luas adalah kesilapan tulen yang dibantu dicegah oleh `.dockerignore`.

Memandangkan pembinaan berlaku secara berterusan dan kecekapan pembinaan, saiz imej, serta mengelakkan kebocoran secret semuanya penting, dan memandangkan memahami build context dan menggunakan `.dockerignore` secara langsung menambah baik ketiga-tiganya, memahami build context dan `.dockerignore` adalah pengetahuan Docker yang bernilai dan relevan secara praktikal — satu amalan yang ringkas tetapi penting untuk pembinaan yang pantas, ramping, dan selamat yang mudah terlepas pandang namun memberi kesan yang bermakna, terutamanya untuk mencegah kemasukan secret ke dalam imej secara tidak sengaja.