如何确保C#源码不嵌入Docker镜像？GitHub Action构建.NET容器

要避免C#源代码被打包进最终的Docker镜像，核心思路是隔离编译环境与运行环境，并严格控制镜像中包含的文件内容，具体可以从以下几个方面入手：

1. 使用Docker多阶段构建（Multi-stage Build） #

多阶段构建是最有效的方式：第一阶段使用包含.NET SDK的镜像完成代码编译，第二阶段仅使用轻量的.NET Runtime镜像，只复制编译后的可执行文件和依赖，完全抛弃源代码所在的编译环境。

示例Dockerfile：

# 第一阶段：编译阶段（仅用于构建，不会进入最终镜像）
FROM mcr.microsoft.com/dotnet/sdk:8.0 AS build
WORKDIR /src

# 复制项目文件并恢复依赖（利用Docker缓存优化构建速度）
COPY *.csproj .
RUN dotnet restore

# 复制全部源代码并编译发布
COPY . .
RUN dotnet publish -c Release -o /app/publish

# 第二阶段：运行阶段（最终生成的镜像仅包含此阶段内容）
FROM mcr.microsoft.com/dotnet/aspnet:8.0 AS final
WORKDIR /app
# 仅从编译阶段复制发布后的产物
COPY --from=build /app/publish .
ENTRYPOINT ["dotnet", "YourAppName.dll"]

2. 配置.dockerignore文件过滤不必要的内容 #

在项目根目录创建.dockerignore文件，明确排除源代码、临时文件、版本控制文件等不需要进入Docker构建上下文的内容，即使不小心执行了COPY . .，这些文件也不会被复制到镜像中。

示例.dockerignore内容：

# 排除所有C#源代码文件
*.cs
*.cshtml
*.razor

# 排除项目配置与临时文件
*.csproj.user
*.suo
*.user
*.userosscache
*.sln.docstates

# 排除构建输出目录
obj/
bin/

# 排除版本控制与CI配置
.git/
.github/
.gitignore

# 排除文档与日志
README.md
*.md
logs/

3. 检查GitHub Action构建流程 #

确保你的GitHub Action配置中，Docker构建步骤没有额外复制源代码到最终镜像：

• 不要在Action中手动复制源代码到镜像构建上下文之外的路径
• 确保使用的docker/build-push-action动作正确使用了.dockerignore文件（默认会自动读取）

示例GitHub Action构建步骤片段：

- name: Build and push Docker image
  uses: docker/build-push-action@v5
  with:
    context: .
    push: true
    tags: ${{ secrets.REGISTRY }}/${{ secrets.IMAGE_NAME }}:${{ github.sha }}
    # 可选：明确指定Dockerfile路径
    file: ./Dockerfile

4. 验证镜像内容 #

构建完成后，你可以通过以下方式确认源代码未被嵌入：

• 运行容器并检查文件系统：

  docker run --rm -it <your-image-tag> bash
  # 在容器内执行ls、find等命令，确认无.cs等源代码文件
  find /app -name "*.cs"
  

• 导出镜像并解压查看分层内容：

  docker save <your-image-tag> -o image.tar
  mkdir image && tar -xf image.tar -C image
  # 检查各layer文件夹中的文件，确认无源代码
  

内容的提问来源于stack exchange，提问作者user1913559