Dockerfile là gì? Các instructions cơ bản?

Dockerfile là script mô tả cách build image, và mỗi instruction sinh ra một layer được cache.

Nguyên tắc quan trọng nhất: đặt thứ ít thay đổi lên trước.

FROM node:20-alpine
WORKDIR /app

# copy manifest trước để layer npm install được tái dùng
COPY package*.json ./
RUN npm ci

# source đổi thường xuyên nên để sau cùng
COPY . .

RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

HEALTHCHECK --interval=30s --timeout=3s \
  CMD wget -q -O /dev/null http://localhost:3000/health || exit 1

ENTRYPOINT ["node"]
CMD ["server.js"]

• Layer caching: source đổi mà package.json không đổi thì Docker dùng lại layer npm ci đã cache — tiết kiệm 1-2 phút mỗi lần build.
• .dockerignore: loại node_modules, .git, .env, build artifact ra khỏi build context, vừa nhanh vừa đỡ lọt file nhạy cảm.
• Non-root user: mặc định container chạy bằng root, có lỗ hổng là mất luôn — thêm USER appuser trước CMD theo nguyên tắc đặc quyền tối thiểu.
• HEALTHCHECK: để Docker/K8s biết container đã healthy chưa mà route traffic vào.
• CMD vs ENTRYPOINT: ENTRYPOINT là executable không override được (tham số của docker run image args sẽ được truyền vào nó), còn CMD chỉ là tham số mặc định và override được. Ghép như trên thì đổi được file chạy nhưng không đổi được runtime.
• Gộp RUN và dọn trong cùng layer: CopyCopiedRUN apt-get update && apt-get install -y ... && rm -rf /var/lib/apt/lists/* — dọn ở layer khác thì layer cũ vẫn nặng nguyên.