build context คืออะไร และทำไมจึงควรใช้ไฟล์ .dockerignore?

Question

Accepted Answer

เมื่อคุณรัน `docker build` Docker จะส่ง **build context** (ไฟล์ในไดเรกทอรีที่ใช้ build) ไปยัง daemon ไฟล์ **.dockerignore** จะกันไฟล์ที่ไม่จำเป็นออกจาก context นี้ — ช่วยให้ build เร็วขึ้น ลดขนาด image และหลีกเลี่ยงการรั่วไหลของไฟล์ที่อ่อนไหว

## build context

```bash
docker build -t myapp .     # the "." is the build context — the directory sent to the daemon
# → Docker tarballs the ENTIRE context directory and sends it to the daemon BEFORE building
# → a big context (node_modules, .git, large files) = slow builds, more data transferred
```

**build context** คือชุดของไฟล์ที่ Docker ส่งไปยัง daemon เพื่อ build image ทุกอย่างในไดเรกทอรีที่ใช้ build จะถูกรวมเข้าไปเว้นแต่จะถูกกันออก — ดังนั้น context ที่ใหญ่เกินไปจึงทำให้ทุกครั้งที่ build ช้าลง

## .dockerignore — กันไฟล์ที่ไม่จำเป็นออก

```text
# .dockerignore (like .gitignore, for the build context)
node_modules        # don't send local deps (they're installed in the image anyway)
.git                # don't send version history
*.log
.env                # ⚠️ don't send SECRETS into the build context/image
Dockerfile
dist
.vscode
```

`.dockerignore` ทำงานเหมือน `.gitignore` โดยกันไฟล์ออกจาก build context

## ทำไมจึงสำคัญ (สามประโยชน์)

```text
✓ FASTER builds — a smaller context transfers faster; fewer files to process
  (also helps caching: COPY . . won't be invalidated by irrelevant file changes)
✓ SMALLER images — excluded files (node_modules, .git) don't get COPYed into the image
✓ SECURITY — keep SECRETS (.env, keys, credentials) out of the context AND the image
  (a COPY . . could otherwise copy a .env file into the image — a real leak risk)
```

## ทำไมจึงสำคัญ

การเข้าใจ build context และ `.dockerignore` มีคุณค่าต่อ **การ build Docker ที่มีประสิทธิภาพและปลอดภัย** ดังนั้นจึงเป็นความรู้ที่มีประโยชน์ในทางปฏิบัติ

นักพัฒนาหลายคนไม่ทราบว่า `docker build .` จะส่ง **ไดเรกทอรี build context ทั้งหมดไปยัง daemon** ก่อนการ build — ดังนั้น context ที่ใหญ่เกินไป (ที่มี `node_modules`, `.git`, build artifacts, ไฟล์ขนาดใหญ่) จึงทำให้ **ทุกครั้งที่ build ช้าลง** (มีข้อมูลที่ต้องส่งและประมวลผลมากขึ้น) และเสี่ยงต่อการคัดลอกไฟล์ที่ไม่ต้องการเข้าไปใน image

ไฟล์ **`.dockerignore`** (ที่ทำงานเหมือน `.gitignore`) แก้ปัญหานี้ด้วยสามประโยชน์ที่เป็นรูปธรรม: **build เร็วขึ้น** (context ที่เล็กกว่าส่งและประมวลผลเร็วกว่า และยังช่วยปรับปรุง layer caching เพราะ `COPY . .` จะไม่ถูกทำให้ใช้ไม่ได้จากการเปลี่ยนแปลงไฟล์ที่ไม่เกี่ยวข้อง) **image เล็กลง** (ไฟล์ที่ถูกกันออกจะไม่ถูกคัดลอกเข้าไป — เช่น ไม่รวม local `node_modules` ที่จะถูกติดตั้งใหม่อยู่แล้ว) และที่สำคัญคือ **ความปลอดภัย** (การเก็บ **secrets อย่างไฟล์ `.env` คีย์ และ credential ออกจาก build context และ image** — เพราะ `COPY . .` อาจคัดลอก `.env` เข้าไปใน image ซึ่งเป็นความเสี่ยงในการรั่วไหลของ credential ที่เกิดขึ้นจริงและพบบ่อย)

ประโยชน์ด้านความปลอดภัยนี้สำคัญเป็นพิเศษ เพราะการฝัง secrets หรือไฟล์ที่อ่อนไหวเข้าไปใน image โดยไม่ตั้งใจผ่านการ copy ที่กว้างเกินไปเป็นข้อผิดพลาดจริงที่ `.dockerignore` ช่วยป้องกัน

เนื่องจากการ build เกิดขึ้นตลอดเวลา และประสิทธิภาพการ build ขนาด image และการหลีกเลี่ยงการรั่วไหลของ secret ล้วนสำคัญ และเนื่องจากการเข้าใจ build context และการใช้ `.dockerignore` ปรับปรุงทั้งสามด้านนี้โดยตรง การเข้าใจ build context และ `.dockerignore` จึงเป็นความรู้ Docker ที่มีคุณค่าและเกี่ยวข้องในทางปฏิบัติ — เป็นแนวปฏิบัติที่เรียบง่ายแต่สำคัญสำหรับการ build ที่รวดเร็ว เล็ก และปลอดภัย ซึ่งมองข้ามได้ง่ายแต่มีผลกระทบอย่างมีความหมาย โดยเฉพาะในการป้องกันการรวม secrets เข้าไปใน image โดยไม่ตั้งใจ