多阶段构建中如何将apk包复制到最终distroless镜像？

一、手动复制APK包文件（最直接的方式） #

distroless镜像没有内置包管理工具，需要从构建阶段手动复制目标包的所有文件：

• 第一步：在构建阶段（使用支持apk的镜像，比如alpine），执行apk info -L <包名>查看该包安装的所有文件路径。示例命令：

  apk info -L tomcat-native
  apk info -L openssl
  apk info -L curl
  

  执行后会输出包内所有文件的绝对路径，比如/usr/bin/curl、/usr/lib/libtcnative-1.so等。
• 第二步：在Dockerfile的distroless阶段，通过COPY --from=builder指令将这些文件复制到对应路径。示例Dockerfile片段：

  # 构建阶段
  FROM alpine:latest as builder
  RUN apk add --no-cache tomcat-native openssl curl
  # 此处添加你的SpringBoot应用构建步骤...
  
  # 最终distroless阶段
  FROM gcr.io/distroless/java17-debian12
  # 复制构建产物
  COPY --from=builder /path/to/your/app.jar /app.jar
  # 复制所需APK包的文件
  COPY --from=builder /usr/bin/curl /usr/bin/curl
  COPY --from=builder /usr/lib/libssl.so* /usr/lib/
  COPY --from=builder /usr/lib/libcrypto.so* /usr/lib/
  COPY --from=builder /usr/lib/libtcnative-1.so* /usr/lib/
  

  注意：必须同步复制依赖文件，比如curl依赖openssl的动态库，所以要把openssl的相关.so文件一并复制。

二、用APK解压批量复制（简化操作） #

如果需要迁移多个包，手动列举路径太繁琐，可以通过下载APK包并解压的方式批量处理：

# 构建阶段
FROM alpine:latest as builder
# 安装构建依赖及需要迁移的包
RUN apk add --no-cache tomcat-native openssl curl
# 将目标APK包下载到临时目录
RUN apk fetch -o /tmp/packages tomcat-native openssl curl
# 创建临时目录并解压所有APK包
RUN mkdir -p /tmp/apk_contents && for pkg in /tmp/packages/*.apk; do unzip -q "$pkg" -d /tmp/apk_contents; done
# 构建你的SpringBoot应用...

# 最终distroless阶段
FROM gcr.io/distroless/java17-debian12
COPY --from=builder /path/to/your/app.jar /app.jar
# 直接复制解压后的所有文件到根目录（自动匹配系统路径）
COPY --from=builder /tmp/apk_contents/ /

这种方式会自动处理包内的所有文件，无需手动逐个列举路径，解压后的文件结构与系统路径完全一致，直接复制根目录即可。

三、考虑更换基础镜像（降低维护成本） #

如果上述复制操作过于繁琐，或者后续需要频繁调整依赖包，建议改用更灵活的轻量镜像：

• 可以选择alpine:latest作为最终镜像，它体积略大于纯distroless镜像，但内置apk包管理工具，能直接在最终阶段安装所需包，无需手动复制：

  # 构建阶段
  FROM alpine:latest as builder
  RUN apk add --no-cache openjdk17 maven
  # 构建SpringBoot应用...
  
  # 最终阶段
  FROM alpine:latest
  RUN apk add --no-cache openjdk17-jre-headless tomcat-native openssl curl
  COPY --from=builder /path/to/your/app.jar /app.jar
  

• 也可以选择distroless的变体镜像（如gcr.io/distroless/static-debian12），这类镜像包含部分基础工具，但可选包有限，灵活性不如alpine。

内容的提问来源于stack exchange，提问作者fluorspar