Dockerfile RUN指令与docker-entrypoint.sh：命令该放何处？

核心判断标准很简单：看命令是只需要执行一次，还是每次容器启动都得执行。

优先用RUN指令的场景 #

RUN是在镜像构建阶段执行，执行结果会被固化到镜像层里，适合所有一次性、静态的操作：

• 安装依赖：比如RUN composer -n install、RUN npm ci这类，依赖版本固定的话，构建一次就够了，没必要每次启动容器都重新装
• 编译构建：比如前端项目的RUN npm run build、Go项目的RUN go build，编译结果是静态文件，打包进镜像就行
• 系统环境配置：比如RUN apt update && apt install -y nginx、修改系统默认配置文件，这些都是镜像层面的固定设置

这么做的好处是能利用Docker的镜像层缓存，只要依赖或配置没改，下次构建直接复用缓存层，速度快；而且容器启动时不用再跑这些操作，启动速度更快。

必须用入口点脚本的场景 #

入口点脚本是容器启动时执行的，适合每次启动都需要动态处理的操作：

• 基于环境变量生成配置：比如根据DB_HOST、REDIS_PORT这类环境变量，动态修改应用的配置文件（像sed -i "s/DB_HOST_PLACEHOLDER/$DB_HOST/" /app/config.php）
• 启动前的依赖检查：比如启动应用前先等数据库连接正常，避免应用启动后直接报错
• 权限修正：如果容器启动时挂载了宿主机目录，挂载后的目录权限可能和镜像里的不一致，这时候需要在启动时调整权限（比如chown -R www-data:www-data /app/storage）
• 临时初始化任务：比如每次启动都要同步最新的静态资源到容器内（但如果资源不是频繁变动，还是建议放构建时）

注意：入口点脚本最后要用exec来启动应用进程（比如exec php-fpm、exec node app.js），这样应用进程会成为容器的PID 1，能正确接收停止信号，保证容器可以正常退出。

针对不做基础镜像的容器 #

哪怕不打算把这个镜像当基础镜像用，也别把所有命令都堆到Dockerfile里。还是按上面的原则拆分：

• 所有静态、一次性的操作（装依赖、编译）全放RUN，把镜像做扎实
• 只有那些必须动态处理的逻辑，才放到入口点脚本里，最后启动应用就行

比如PHP项目：RUN composer install放Dockerfile，启动前根据环境变量改配置、等数据库的逻辑放docker-entrypoint.sh，最后exec php-fpm启动服务。

内容的提问来源于stack exchange，提问作者markhc