Build context là gì và tại sao dùng một tệp .dockerignore?

Question

IT Interview Practice · Accepted Answer

Khi bạn chạy `docker build`, Docker gửi **build context** (các tệp trong thư mục build) tới daemon. Một tệp **.dockerignore** loại trừ các tệp không cần thiết khỏi context này — tăng tốc các build, giảm kích thước image, và tránh làm lộ các tệp nhạy cảm.

## Build context

```bash
docker build -t myapp .     # "." là build context — thư mục được gửi tới daemon
# → Docker đóng gói TOÀN BỘ thư mục context và gửi nó tới daemon TRƯỚC khi build
# → một context lớn (node_modules, .git, tệp lớn) = build chậm, nhiều dữ liệu được truyền
```

**Build context** là tập hợp các tệp Docker gửi tới daemon để build image. Mọi thứ trong thư mục build được bao gồm trừ khi bị loại trừ — nên một context phình to làm chậm mỗi build.

## .dockerignore — loại trừ các tệp không cần thiết

```text
# .dockerignore (giống .gitignore, cho build context)
node_modules        # đừng gửi các dep cục bộ (chúng được cài trong image dù sao)
.git                # đừng gửi lịch sử phiên bản
*.log
.env                # ⚠️ đừng gửi SECRET vào build context/image
Dockerfile
dist
.vscode
```

`.dockerignore` hoạt động giống `.gitignore`, loại trừ các tệp khỏi build context.

## Tại sao điều này quan trọng (ba lợi ích)

```text
✓ Build NHANH HƠN — một context nhỏ hơn truyền nhanh hơn; ít tệp hơn để xử lý
  (cũng giúp caching: COPY . . sẽ không bị vô hiệu bởi các thay đổi tệp không liên quan)
✓ Image NHỎ HƠN — các tệp được loại trừ (node_modules, .git) không bị COPY vào image
✓ BẢO MẬT — giữ SECRET (.env, key, thông tin xác thực) ngoài context VÀ image
  (một COPY . . nếu không có thể copy một tệp .env vào image — một rủi ro rò rỉ thực sự)
```

## Tại sao điều này quan trọng

Hiểu build context và `.dockerignore` là có giá trị cho **các build Docker hiệu quả và an toàn**, vì vậy đó là kiến thức hữu ích thực tế.

Nhiều lập trình viên không nhận ra rằng `docker build .` gửi **toàn bộ thư mục build-context tới daemon** trước khi build — nên một context phình to (chứa `node_modules`, `.git`, các artifact build, các tệp lớn) làm cho **mỗi build chậm hơn** (nhiều dữ liệu hơn để truyền và xử lý) và có nguy cơ copy các tệp không mong muốn vào image.

Tệp **`.dockerignore`** (hoạt động giống `.gitignore`) giải quyết điều này với ba lợi ích cụ thể: **build nhanh hơn** (một context nhỏ hơn truyền và xử lý nhanh hơn, và cũng cải thiện layer caching vì `COPY . .` sẽ không bị vô hiệu bởi các thay đổi tới các tệp không liên quan), **image nhỏ hơn** (các tệp được loại trừ không bị copy vào — ví dụ không gói `node_modules` cục bộ vốn được cài lại dù sao), và quan trọng là **bảo mật** (giữ các **secret như các tệp `.env`, key và thông tin xác thực ngoài build context và image** — vì một `COPY . .` nếu không có thể copy một `.env` vào image, một rủi ro rò rỉ thông tin xác thực thực sự và phổ biến).

Lợi ích bảo mật này đặc biệt quan trọng, vì vô tình nhúng các secret hoặc tệp nhạy cảm vào image qua một copy quá rộng là một sai lầm thực sự mà `.dockerignore` giúp ngăn ngừa.

Vì các build diễn ra liên tục và hiệu quả build, kích thước image, và tránh rò rỉ secret đều quan trọng, và vì hiểu build context và dùng `.dockerignore` trực tiếp cải thiện cả ba, hiểu build context và `.dockerignore` là kiến thức Docker có giá trị, liên quan thực tế — một thực hành đơn giản nhưng quan trọng cho các build nhanh, gọn và an toàn vốn dễ bị bỏ qua nhưng có tác động đáng kể, đặc biệt để ngăn ngừa việc vô tình bao gồm các secret trong image.

Build context

.dockerignore — loại trừ các tệp không cần thiết

Tại sao điều này quan trọng (ba lợi ích)

Tại sao điều này quan trọng

Câu hỏi liên quan