Alpine ít gói hơn Debian sáu lần, nhưng số lệnh cho kẻ tấn công chỉ ít hơn 24%
Đo năm image nền trên cùng một ứng dụng: dung lượng, số gói, số lệnh có sẵn. Vì sao dung lượng nhỏ không đồng nghĩa với bề mặt tấn công nhỏ.
#docker
94 bài viết
Máy chủ Go 86 MB xuống còn 1,9 MB — 45 lần, chỉ vì thôi vác cả xưởng đi theo tệp nhị phân
Đo multi-stage build trên một ứng dụng Go thật: dung lượng, số layer, thời gian build, cái giá của scratch, và vì sao tầng không ai dùng tới bị bỏ qua hoàn toàn.
ENTRYPOINT dạng shell nuốt sạch tham số người dùng, không một dòng lỗi — và một chữ exec cứu mã thoát
Bốn tổ hợp ENTRYPOINT và CMD, đo hành vi thật của từng cái, và một dòng exec quyết định container của bạn thoát với mã 0 hay 137.
.dockerignore không giúp build nhanh hơn — nó giúp cache đừng chết mỗi lần bạn git commit
Đo build context với BuildKit: 150 B dù thư mục dự án 28 MB, và chỗ .dockerignore thật sự đáng giá là cache chứ không phải tốc độ truyền.
Đổi một dòng mã, build lại nhanh gấp tám lần — hoặc chậm y như cũ, tuỳ bạn xếp COPY ở đâu
Đo cache của layer: thứ tự COPY quyết định thời gian build, touch không phá cache, và vì sao tách apt-get update ra dòng riêng vừa làm image to hơn vừa cài gói cũ.
Bốn lệnh Dockerfile làm khác hẳn cái tên của chúng: EXPOSE không mở cổng, ARG lộ bí mật
Mỗi lệnh Dockerfile thật sự sinh ra gì: dạng shell so với exec, COPY so với ADD, EXPOSE không mở cổng, VOLUME rò rỉ volume, và ARG lộ bí mật.