Debian Java容器化实践

Debian Java容器化实践指南

一 基础准备与镜像选型

• 在 Debian 宿主机上安装 Docker 与 OpenJDK，用于本地构建与运行容器：
  • 安装 Docker：sudo apt update && sudo apt install -y docker.io && sudo systemctl enable --now docker
  • 安装 JDK：sudo apt install -y default-jdk；验证：java -version、javac -version
• 基础镜像选型建议：
  • 优先选择 Debian 基础镜像（如 openjdk:17-jdk-slim），在 glibc 兼容性与稳定性上更稳妥，适合含 JNI 或系统库依赖的应用。
  • 如需极致体积可考虑 Alpine，但在字体、JNI、本地库等场景更易遇到兼容性问题。
  • 运行期镜像选 JRE 更轻量；为便于生产排障建议直接使用 JDK 作为运行镜像（含 jstack/jmap 等工具）。

二 标准 Dockerfile 模板与构建运行

• 多阶段构建（Maven 示例，Debian slim 基础镜像）
  • 构建阶段：FROM maven:3.8.6-openjdk-17 AS builder
    • WORKDIR /app
    • COPY pom.xml .
    • RUN mvn dependency:go-offline
    • COPY src ./src
    • RUN mvn clean package -DskipTests
  • 运行阶段：FROM openjdk:17-jdk-slim
    • WORKDIR /app
    • COPY --from=builder /app/target/*.jar /app/app.jar
    • EXPOSE 8080
    • CMD [“java”,“-jar”,“/app/app.jar”]
• Gradle 场景（Debian slim 基础镜像）
  • 构建阶段：FROM gradle:7.9-jdk17 AS builder
    • WORKDIR /app
    • COPY build.gradle settings.gradle ./
    • COPY gradle ./gradle
    • RUN gradle dependencies
    • COPY . .
    • RUN gradle bootJar -x test
  • 运行阶段：FROM openjdk:17-jdk-slim
    • WORKDIR /app
    • COPY --from=builder /app/build/libs/*.jar /app/app.jar
    • EXPOSE 8080
    • CMD [“java”,“-jar”,“/app/app.jar”]
• 构建与运行
  • 构建：docker build -t myapp:1.0.0 .
  • 运行：docker run -d -p 8080:8080 --name myapp myapp:1.0.0
  • 快速编排（可选）：docker-compose.yml
    • version: ‘3.8’
    • services:
      • app:
        • image: myapp:1.0.0
        • ports: [“8080:8080”]
        • environment:
          • SPRING_PROFILES_ACTIVE=prod
    • 启动：docker-compose up -d

三 安全与运行时最佳实践

• 非 root 运行与最小权限
  • 运行时使用 nonroot 镜像或显式切换用户（如 USER 10001），并为应用目录设置最小权限。
• 极简运行时选择
  • 生产可选 Distroless Java 镜像（基于 Debian 12），仅保留 Java 运行时，移除包管理器与 Shell，降低攻击面：
    • 示例：FROM gcr.io/distroless/java17-debian12:nonroot
    • 如需排障，可临时改用 :debug 镜像进入容器（提供 busybox shell）。
• JVM 与启动优化
  • 设置堆与 GC：ENV JAVA_OPTS=“-Xms512m -Xmx1g -XX:+UseG1GC”
  • 熵源优化（容器常见）：-Djava.security.egd=file:/dev/./urandom
  • 健康检查（Spring Boot Actuator 示例）
    • management.endpoints.web.exposure.include=health,info,liveness,readiness
    • livenessProbe: httpGet path=/actuator/health/liveness port=8080
    • readinessProbe: httpGet path=/actuator/health/readiness port=8080
• K8s 资源与上下文
  • 示例资源配置：
    • resources.requests.memory=512Mi；resources.limits.memory=1Gi
    • securityContext.runAsNonRoot=true；runAsUser=65532；runAsGroup=65532
• 镜像与架构
  • 如需 多架构（amd64/arm64） 产物，使用 docker buildx 构建并推送到镜像仓库，便于异构集群部署。

四 调试与常见问题处理

• 本地快速调试
  • 前台运行看日志：docker run --rm -p 8080:8080 myapp:1.0.0
  • 进入容器（仅当基础镜像含 shell）：docker exec -it myapp sh
• 使用 Distroless 的调试
  • 构建调试镜像：将运行时改为 gcr.io/distroless/java17-debian12:debug（或 :debug-nonroot）
  • 进入容器：docker run -it --entrypoint=sh myapp:debug
• 常见问题
  • 时区与本地化：在运行阶段添加 TZ 与 Locale（如 ENV TZ=Asia/Shanghai），或在镜像中安装 tzdata 并设置 /etc/localtime。
  • 配置文件外置：通过 ConfigMap/Secret 挂载 application.yml，避免镜像内硬编码。
  • JNI/本地库依赖：优先选择 Debian 基础镜像；如必须用 Alpine，需验证本地库兼容性与字体/编码等依赖。
  • 构建缓存失效：合理分层（依赖层与代码层分离），变更频率低的层放底层，加快构建与拉取。