Node.js项目Dockerfile配置相关技术疑问咨询

先贴出当前的Dockerfile内容（注：其中存在若干语法问题，如FROM alpine 3.14应为FROM alpine:3.14，COPY package*.json缺少目标路径，COPY..应为COPY . .，${9}应为具体版本号，且第9行引用的builder阶段未定义）：

1. FROM alpine 3.14
2. COPY .npmrc ./
3. RUN npm install pnpm@${9} -- global
4. RUN pnpm config set store-dir ~./pnpm-store
5. WORKDIR /app
6. COPY package*.json
7. COPY..
8. RUN pnpm build
9. COPY --from=builder /app/dist ./dist/
10. RUN useradd -ms /bin/bash  vault

疑问解答 #

a) 第5行设置WORKDIR /app后，第2行执行的COPY .npmrc ./是否仍能生效？

第2行执行时，镜像的当前工作目录是Alpine默认的/，所以.npmrc会被复制到/目录下。设置WORKDIR /app只是改变后续命令的当前工作目录，之前复制到/的.npmrc仍然存在。不过npm/pnpm读取配置的优先级是当前工作目录 > 用户根目录 > 系统目录，后续在/app下执行pnpm命令时，会优先查找/app下的.npmrc，找不到才会读取/下的配置。所以这行COPY是“生效”的，但没达到“在工作目录使用该配置”的预期，正确的做法应该是在WORKDIR /app之后再执行COPY .npmrc ./。

b) 第4行执行pnpm config set store-dir ~./pnpm-store的作用是什么？该路径是否为pnpm命令的执行位置？

• 作用：设置pnpm的包缓存存储目录，pnpm会把下载的依赖包缓存到这个目录，后续安装依赖时可以直接复用缓存，避免重复下载，提升构建速度。
• 路径问题：~./pnpm-store是语法错误，正确写法应为~/.pnpm-store（~代表当前用户的根目录，比如root用户对应/root/.pnpm-store）。这个路径是缓存存储位置，不是pnpm命令的执行位置，pnpm命令的执行位置由当前工作目录或全局安装路径（如/usr/local/bin/pnpm）决定。

c) 第9行将/app/dist复制到./dist/的目的是什么？能否直接从/app目录运行应用？

• 目的：这是多阶段构建的典型写法，原示例应该是把builder阶段（专门用于构建的镜像，包含完整的构建依赖）生成的/app/dist构建产物，复制到当前的运行镜像中。这么做的核心原因是减小最终镜像体积——运行镜像只需要构建好的产物，不需要源码、node_modules、构建工具等冗余内容。
• 能否直接运行：可以直接从/app目录运行应用，但/app包含了源码、依赖包等大量文件，会导致镜像体积大幅增加，生产环境更推荐只保留构建产物的轻量镜像。另外当前Dockerfile中没有定义builder阶段，这行命令实际会执行失败。

d) 第10行执行RUN useradd -ms /bin/bash vault添加用户的原因是什么？

核心目的是避免以root用户运行容器。Docker默认以root用户启动容器进程，一旦容器内的应用被攻破，攻击者可能直接获得宿主机的root权限，存在严重安全风险。创建普通用户vault后，后续通过USER vault切换到该用户运行应用，能大幅降低安全风险。
参数说明：-m会为用户创建主目录，-s指定用户的登录shell为/bin/bash。

内容的提问来源于stack exchange，提问作者User1267