更换FROM镜像后Dockerfile中COPY命令失效问题排查求助

背景 #

我有两个自定义镜像：

• company/site：基于Node.js镜像，用于Next.js网站开发
• company/api：基于VS Code的.NET开发容器镜像，用于API开发

两个镜像的Dockerfile定义 #

company/site

FROM node:lts-bullseye-slim

# 其他构建指令

company/api

ARG VARIANT="6.0-bullseye-slim"
FROM mcr.microsoft.com/vscode/devcontainers/dotnet:${VARIANT}

# 其他构建指令

问题现象 #

在同一构建目录、无.dockerignore文件、使用完全相同的构建命令docker build -t company/api-or-site .的情况下：

• 以company/api为基础镜像时，以下Dockerfile能正常执行：

  FROM company/api
  
  COPY . .
  
  RUN /buildScript.sh
  

• 替换为company/site作为基础镜像时，COPY . .未复制任何文件，导致后续RUN /buildScript.sh执行失败：

  FROM company/site
  
  COPY . .
  
  RUN /buildScript.sh
  

可能的成因 #

1. 基础镜像的WORKDIR权限不足：company/site镜像中设置的WORKDIR可能属于无写入权限的用户，或者目录本身是只读的，导致COPY操作无法写入文件，但Docker未抛出明确错误。
2. ONBUILD指令干扰：如果company/site的Dockerfile中包含ONBUILD指令（比如ONBUILD COPY），可能在构建子镜像时提前修改了构建上下文，覆盖了当前的COPY操作。
3. 镜像用户身份问题：company/site镜像可能切换到了非root用户，而该用户对当前WORKDIR没有写入权限，导致COPY失败。
4. 基础镜像分层损坏：company/site镜像本身的分层数据可能损坏，导致构建时无法正确处理COPY指令。

调试排查步骤 #

• 检查基础镜像的WORKDIR与权限：
  1. 运行docker run --rm -it company/site bash进入镜像交互环境
  2. 用pwd查看当前默认工作目录，再用ls -ld $(pwd)查看目录的权限和所属用户
  3. 尝试创建测试文件touch test.txt，验证是否有写入权限
• 排查ONBUILD指令：
  执行docker inspect company/site | grep -A 5 -B 5 "OnBuild"，查看镜像是否包含ONBUILD指令，确认是否存在干扰当前构建的操作
• 指定COPY的绝对路径：
  修改Dockerfile中的COPY命令为COPY . /app（选择一个明确且有写入权限的绝对路径），重新构建验证是否能成功复制文件
• 查看构建详细日志：
  构建时添加--progress=plain参数：docker build --progress=plain -t company/api-or-site .，查看COPY步骤的详细输出，排查是否有隐藏的错误信息
• 重新构建基础镜像：
  重新构建company/site镜像，确保其Dockerfile中的指令（如WORKDIR、权限配置）无错误，排除镜像分层损坏的可能

内容的提问来源于stack exchange，提问作者Big boy