为何模板Dockerfile定义base阶段却未直接使用？

问题 #

我见过许多如下结构的模板Dockerfile：

FROM mcr.microsoft.com/dotnet/aspnet:5.0 AS base
WORKDIR /app
EXPOSE 80

[A bunch of restore/build/publish instructions]

FROM base AS final
WORKDIR /app
COPY --from=publish /app/publish .
ENTRYPOINT yada yada

我无法理解该写法相比以下写法有何改进或优势：

[Same exact restore/build/publish instructions]

FROM mcr.microsoft.com/dotnet/sdk:5.0 AS final
WORKDIR /app
EXPOSE 80
COPY --from=publish /app/publish .
ENTRYPOINT yada yada

是否存在我未理解或忽略的技术要点？

核心优势分析 #

这两种写法的核心差异在于最终镜像所基于的基础镜像类型，前者的优势主要体现在三个关键维度：

• 镜像体积大幅缩减：aspnet:5.0镜像仅包含运行.NET应用所需的最小runtime环境，而sdk:5.0镜像包含了完整的编译工具链（如C#编译器、NuGet包管理器、构建工具等）。两者体积差距显著——aspnet镜像通常只有几百MB，sdk镜像则超过1GB。更小的最终镜像意味着更快的部署速度、更低的存储成本，以及更高效的镜像分发。
• 生产环境安全性更高：sdk镜像包含大量非运行必需的工具和依赖，这会扩大镜像的攻击面，增加潜在漏洞暴露的风险。而aspnet镜像只保留了应用运行所需的核心组件，最大限度减少了不必要的风险，更适合用于生产环境部署。
• 缓存效率优化：第一种写法中，base层基于稳定的aspnet镜像，只有当基础镜像更新时才会重新构建该层；而如果直接用sdk作为最终镜像的基础，sdk层的变动可能会影响后续构建的缓存命中率，提升构建效率。

内容的提问来源于stack exchange，提问作者Wellspring