Ba khác biệt thật giữa musl và glibc: cấp phát bộ nhớ đa luồng, wheel Python, và ngăn xếp luồng 128 KB so với 8 MB — một trong ba đủ để đảo ngược quyết định chọn image nền.
Đo năm image nền trên cùng một ứng dụng: dung lượng, số gói, số lệnh có sẵn. Vì sao dung lượng nhỏ không đồng nghĩa với bề mặt tấn công nhỏ.
Đo multi-stage build trên một ứng dụng Go thật: dung lượng, số layer, thời gian build, cái giá của scratch, và vì sao tầng không ai dùng tới bị bỏ qua hoàn toàn.
Bốn tổ hợp ENTRYPOINT và CMD, đo hành vi thật của từng cái, và một dòng exec quyết định container của bạn thoát với mã 0 hay 137.
Đo build context với BuildKit: 150 B dù thư mục dự án 28 MB, và chỗ .dockerignore thật sự đáng giá là cache chứ không phải tốc độ truyền.
Đo cache của layer: thứ tự COPY quyết định thời gian build, touch không phá cache, và vì sao tách apt-get update ra dòng riêng vừa làm image to hơn vừa cài gói cũ.