什么是构建上下文，为什么要使用 .dockerignore 文件？

Question

Accepted Answer

当您运行 `docker build` 时，Docker 将**构建上下文**（构建目录中的文件）发送到 daemon。**.dockerignore** 文件从此上下文中排除不需要的文件——加速构建、减小镜像大小并避免泄露敏感文件。

## 构建上下文

```bash
docker build -t myapp .     # the "." is the build context — the directory sent to the daemon
# → Docker tarballs the ENTIRE context directory and sends it to the daemon BEFORE building
# → a big context (node_modules, .git, large files) = slow builds, more data transferred
```

**构建上下文**是 Docker 发送给 daemon 以构建镜像的文件集合。构建目录中的所有内容都包含在内，除非被排除——因此，臃肿的上下文会减慢每次构建的速度。

## .dockerignore — 排除不需要的文件

```text
# .dockerignore (like .gitignore, for the build context)
node_modules        # don't send local deps (they're installed in the image anyway)
.git                # don't send version history
*.log
.env                # ⚠️ don't send SECRETS into the build context/image
Dockerfile
dist
.vscode
```

`.dockerignore` 的工作方式与 `.gitignore` 类似，从构建上下文中排除文件。

## 为什么这很重要（三个好处）

```text
✓ FASTER builds — a smaller context transfers faster; fewer files to process
  (also helps caching: COPY . . won't be invalidated by irrelevant file changes)
✓ SMALLER images — excluded files (node_modules, .git) don't get COPYed into the image
✓ SECURITY — keep SECRETS (.env, keys, credentials) out of the context AND the image
  (a COPY . . could otherwise copy a .env file into the image — a real leak risk)
```

## 为什么这很重要

理解构建上下文和 `.dockerignore` 对于**高效安全的 Docker 构建**很有价值，因此是实用知识。

许多开发人员没有意识到 `docker build .` 在构建前会将**整个构建上下文目录发送给 daemon** ——因此，臃肿的上下文（包含 `node_modules`、`.git`、构建工件、大文件）会使**每次构建都变慢**（更多数据要传输和处理），并且存在将不需要的文件复制到镜像中的风险。

**.dockerignore** 文件（工作方式与 `.gitignore` 相同）通过三个具体好处解决这个问题：**更快的构建**（更小的上下文传输和处理速度更快，也改进了层缓存，因为 `COPY . .` 不会因无关文件的更改而失效）、**更小的镜像**（被排除的文件不会被复制——例如不捆绑本地 `node_modules`，这些文件本来就会重新安装）、以及最重要的**安全性**（将**`.env` 文件、密钥和凭证等 secrets 保在构建上下文和镜像之外** ——因为 `COPY . .` 否则会将 `.env` 复制到镜像中，这是真实的、常见的凭证泄露风险）。

这个安全优势尤为重要，因为通过过于宽泛的复制意外地将 secrets 或敏感文件烘焙到镜像中是一个真实的错误，`.dockerignore` 可以帮助防止这种情况。

由于构建不断进行，构建效率、镜像大小和避免 secrets 泄露都很重要，而理解和使用构建上下文和 `.dockerignore` 直接改进这三个方面，所以理解构建上下文和 `.dockerignore` 是宝贵的、实际相关的 Docker 知识——这是快速、精简、安全构建的简单但重要的实践，容易被忽视但意义重大，特别是在防止镜像中意外包含 secrets 方面。