为何向centos:latest Docker镜像添加用户组及用户后体积暴涨至22.7GB？

你给出的Dockerfile中没有主动下载、安装大体积软件的指令，从基础镜像250MB涨到22.7GB的异常增长，基本都是变量解析错误、路径匹配偏差引发的连锁问题，常见触发原因集中在以下几类：

• 变量解析错误触发递归拷贝
  你在ENV指令中写的路径赋值是Docker构建里的高频踩坑写法：ENV HOME_DIR=/home/"$user" 这种把双引号嵌在路径值中间的形式，在多数旧版Docker的解析逻辑里，双引号不会被识别为字符串边界，会被当成路径的字面组成部分；同时ARG变量在ENV行的展开时机存在不匹配问题，最终生成的HOME_DIR根本不是预期的/home/x_user，而是带无效字符的异常路径。
  后续执行useradd命令把这个异常路径传给--home-dir参数时，Shell的引号嵌套会进一步截断参数，让useradd把根目录、甚至构建时挂载到容器内的宿主机大目录（比如存放了20多G开发数据的挂载盘、整个build context目录）当成新用户的home目录来源，递归拷贝全量文件到镜像层中。这些文件没有被后续清理，会直接把镜像体积拉高到几十G。
• build context缺少过滤规则
  如果你执行docker build时，直接在存放了几十G开发文件的目录下发起构建，且没有编写.dockerignore规则过滤不需要打进镜像的文件，一旦上面提到的路径解析错误刚好让useradd的目标路径匹配到了build context的挂载位置，所有context里的大文件都会被一次性拷贝到镜像层，触发体积暴涨。
• useradd参数配置遗漏
  你给groupadd加了--system参数创建系统组，但useradd没有明确禁用自动创建home目录、递归初始化目录内容的默认逻辑。当传入的home路径异常时，useradd不会像正常流程那样创建几百K的小目录，而是会沿错误路径递归向上查找可写目录，把能遍历到的所有文件都纳入home目录的初始化流程，进一步放大体积异常。

• 调整ENV写法，去掉嵌套在路径值里的多余双引号，改用标准的变量拼接形式，比如ENV HOME_DIR=/home/${user}，从根源上避免解析异常。
• 给useradd命令加-M参数，明确禁止自动创建用户home目录，从逻辑上切断因为路径错误触发递归拷贝的可能。
• 构建前补充.dockerignore文件，过滤掉build context里的大文件、开发目录、缓存目录，避免无关文件被意外打包进镜像。
• 构建完成后用docker history 对应镜像ID逐层查看每一层的实际大小，定位是哪一步生成了超大层，就能直接锁定具体的路径错误点。

内容的提问来源于stack exchange，提问作者sblive