如何借助Azure Registry复用Docker历史镜像层缩短GitOps构建时长

直接拉取旧镜像无法复用层的核心原因有两个：一是没有开启Docker BuildKit支持远程缓存源，二是历史镜像没有携带缓存元数据，Docker无法识别可复用的层。按照以下步骤配置即可实现层复用：

1. 开启Docker BuildKit #

BuildKit是Docker官方的下一代构建工具，原生支持使用远程拉取的镜像作为构建缓存源，在执行构建前配置环境变量开启即可：

export DOCKER_BUILDKIT=1

GitHub Actions的默认Runner已预置BuildKit，直接配置变量即可生效。

2. 构建时添加缓存元数据参数 #

构建镜像时添加BUILDKIT_INLINE_CACHE=1构建参数，这样生成的镜像会内嵌缓存元数据，后续拉取后即可直接作为缓存源使用：

docker build \
  --build-arg BUILDKIT_INLINE_CACHE=1 \
  # 其余构建参数
  .

3. 显式指定缓存源镜像 #

提前拉取你要复用缓存的基准镜像（比如主分支的latest镜像，或者当前PR上一次构建的镜像），构建时通过--cache-from参数指定该镜像为缓存源：

# 提前拉取基准镜像，不存在时不报错中断流程
docker pull <你的ACR地址>/<镜像名>:latest || true

# 构建时指定缓存源
docker build \
  --build-arg BUILDKIT_INLINE_CACHE=1 \
  --cache-from <你的ACR地址>/<镜像名>:latest \
  -t <你的ACR地址>/<镜像名>:<本次构建标签> \
  .

GitHub Actions 工作流示例 #

以下是适配你的场景的完整工作流片段：

- name: 登录Azure Container Registry
  uses: azure/docker-login@v1
  with:
    login-server: ${{ secrets.ACR_REGISTRY_URL }}
    username: ${{ secrets.ACR_USERNAME }}
    password: ${{ secrets.ACR_PASSWORD }}

- name: 拉取历史基准镜像作为缓存源
  run: docker pull ${{ secrets.ACR_REGISTRY_URL }}/node-app:latest || true

- name: 构建Docker镜像
  run: |
    DOCKER_BUILDKIT=1 docker build \
      --build-arg BUILDKIT_INLINE_CACHE=1 \
      --cache-from ${{ secrets.ACR_REGISTRY_URL }}/node-app:latest \
      -t ${{ secrets.ACR_REGISTRY_URL }}/node-app:latest \
      -t ${{ secrets.ACR_REGISTRY_URL }}/node-app:pr-${{ github.event.pull_request.number }} \
      .

- name: 推送镜像到ACR
  run: |
    # 推送当前PR对应的镜像标签
    docker push ${{ secrets.ACR_REGISTRY_URL }}/node-app:pr-${{ github.event.pull_request.number }}
    # 如果是合并到主分支的构建，同步更新latest标签
    if [ "${{ github.base_ref }}" == "main" ]; then
      docker push ${{ secrets.ACR_REGISTRY_URL }}/node-app:latest
    fi

你的Dockerfile结构已经符合缓存优化要求，只要package.json、yarn.lock、tsconfig.json这三个文件没有变更，yarn install步骤就会直接复用历史层，不需要重新执行。

内容的提问来源于stack exchange，提问作者knutole