# === 最適化された Dockerfile ===
 
# 1. ベースイメージ（変更頻度: 最低）
FROM node:20-alpine
 
WORKDIR /app
 
# 2. システム依存関係（変更頻度: 低）
RUN apk add --no-cache curl
 
# 3. 言語依存関係の定義ファイル（変更頻度: 中低）
COPY package.json package-lock.json ./
 
# 4. 依存関係のインストール（変更頻度: 中低）
RUN npm ci --only=production
 
# 5. 設定ファイル（変更頻度: 中）
COPY tsconfig.json ./
 
# 6. ソースコード（変更頻度: 最高）
COPY src/ ./src/
 
# 7. ビルド
RUN npm run build
 
CMD ["node", "dist/server.js"]

# syntax=docker/dockerfile:1
 
FROM node:20-alpine
WORKDIR /app
 
COPY package.json package-lock.json ./
 
# npm キャッシュディレクトリをマウント
# ビルド間で再利用される（レイヤーには含まれない）
RUN --mount=type=cache,target=/root/.npm \
    npm ci --only=production
 
COPY . .
RUN npm run build
 
CMD ["node", "dist/server.js"]

# Python の pip キャッシュ
FROM python:3.12-slim
WORKDIR /app
COPY requirements.txt .
RUN --mount=type=cache,target=/root/.cache/pip \
    pip install -r requirements.txt
COPY . .
CMD ["python", "app.py"]

# Go のモジュール + ビルドキャッシュ
FROM golang:1.22-alpine
WORKDIR /app
COPY go.mod go.sum ./
RUN --mount=type=cache,target=/go/pkg/mod \
    go mod download
COPY . .
RUN --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache/go-build \
    CGO_ENABLED=0 go build -o /server .

# キャッシュ ID を指定（同じ ID のキャッシュを共有）
RUN --mount=type=cache,id=npm-cache,target=/root/.npm \
    npm ci
 
# キャッシュのシェアリングモード
# shared: 複数のビルドが同時にアクセス可能（デフォルト）
# private: 1つのビルドのみアクセス可能
# locked: 同時アクセスを排他制御
RUN --mount=type=cache,target=/root/.npm,sharing=locked \
    npm ci
 
# 読み取り専用マウント
RUN --mount=type=cache,target=/root/.npm,readonly \
    npm ls
 
# キャッシュの初期値をディレクトリから設定
RUN --mount=type=cache,target=/root/.npm,from=base-deps \
    npm ci

# NG: 日時を含むコマンドはキャッシュが常に無効
RUN echo "Build date: $(date)" > /app/build-info.txt
 
# OK: ARG で制御（同じ値ならキャッシュ有効）
ARG BUILD_DATE=unknown
RUN echo "Build date: $BUILD_DATE" > /app/build-info.txt
 
# NG: apt-get update を単独で実行
RUN apt-get update
RUN apt-get install -y curl  # update のキャッシュが古くなる
 
# OK: update と install を1つの RUN にまとめる
RUN apt-get update && \
    apt-get install -y --no-install-recommends curl && \
    rm -rf /var/lib/apt/lists/*
 
# テクニック: git リビジョンをビルド引数に
ARG GIT_REVISION
LABEL git.revision=$GIT_REVISION
# build 時: docker build --build-arg GIT_REVISION=$(git rev-parse HEAD) .

# 特定の条件でのみキャッシュを無効化する
# 例: 依存関係ファイルが変更された場合のみ再インストール
 
FROM node:20-alpine
WORKDIR /app
 
# package.json のみ先にコピー（変更がなければキャッシュが効く）
COPY package.json package-lock.json ./
 
# チェックサムで変更を検出
RUN --mount=type=cache,target=/root/.npm \
    npm ci
 
# tsconfig.json が変わっても依存関係の再インストールは不要
COPY tsconfig.json ./
COPY src/ ./src/
RUN npm run build

# ==========================================
# .dockerignore
# ==========================================
 
# --- バージョン管理 ---
.git
.gitignore
.gitattributes
 
# --- 依存関係（コンテナ内で再インストール） ---
node_modules
vendor
.venv
__pycache__
*.pyc
 
# --- ビルド成果物（コンテナ内で再ビルド） ---
dist
build
out
target
*.o
*.a
 
# --- IDE / エディタ ---
.vscode
.idea
*.swp
*.swo
*~
 
# --- Docker 関連 ---
Dockerfile*
docker-compose*.yml
.dockerignore
 
# --- ドキュメント ---
README.md
LICENSE
CHANGELOG.md
docs/
 
# --- テスト ---
coverage
.nyc_output
*.test.js
*.spec.js
__tests__
tests
 
# --- 環境変数・シークレット ---
.env
.env.*
!.env.example
*.pem
*.key
credentials.json
 
# --- OS ファイル ---
.DS_Store
Thumbs.db
 
# --- CI/CD ---
.github
.gitlab-ci.yml
Jenkinsfile

# === Node.js プロジェクト用 ===
node_modules
npm-debug.log*
yarn-debug.log*
yarn-error.log*
.pnpm-debug.log*
dist
build
.next
.nuxt
coverage
.nyc_output
*.test.js
*.spec.js
*.test.ts
*.spec.ts
__tests__
jest.config.*
.eslintrc*
.prettierrc*
tsconfig.tsbuildinfo

# === Python プロジェクト用 ===
__pycache__
*.pyc
*.pyo
*.pyd
.Python
*.egg-info
.eggs
*.egg
dist
build
.venv
venv
env
.mypy_cache
.pytest_cache
.tox
htmlcov
.coverage
*.cover

# === Go プロジェクト用 ===
vendor/
*.test
*.out
*.exe
*.dll
*.so
*.dylib
coverage.txt
profile.out

# === Java プロジェクト用 ===
target/
build/
*.class
*.jar
*.war
*.ear
.gradle
.mvn/wrapper/maven-wrapper.jar
*.iml
.idea
out/

# ビルドコンテキストに含まれるファイルを確認する方法
 
# 1. コンテキストサイズを確認
docker build --no-cache -t test . 2>&1 | head -5
 
# 2. BuildKit でコンテキスト転送量を確認
DOCKER_BUILDKIT=1 docker build --progress=plain -t test . 2>&1 | grep "transferring"
 
# 3. .dockerignore の効果をテスト（空の Dockerfile で）
echo "FROM scratch" > Dockerfile.test
docker build -f Dockerfile.test . 2>&1 | grep "Sending"
rm Dockerfile.test
 
# 4. rsync --dry-run で除外ファイルを確認
rsync -avz --dry-run --exclude-from=.dockerignore . /dev/null

# サイズ比較用ビルド
# === ubuntu ベース (~77MB) ===
FROM ubuntu:22.04
RUN apt-get update && apt-get install -y nodejs npm
 
# === slim ベース (~74MB) ===
FROM node:20-slim
 
# === alpine ベース (~7MB) ===
FROM node:20-alpine
 
# === distroless (~120MB Node.js含む) ===
FROM gcr.io/distroless/nodejs20-debian12

# サイズの確認
docker images --format "table {{.Repository}}\t{{.Tag}}\t{{.Size}}"

# Debian/Ubuntu: キャッシュの削除
RUN apt-get update && \
    apt-get install -y --no-install-recommends \
        curl \
        ca-certificates && \
    rm -rf /var/lib/apt/lists/*
 
# Alpine: --no-cache で キャッシュを残さない
RUN apk add --no-cache curl ca-certificates
 
# pip: キャッシュを無効化
RUN pip install --no-cache-dir -r requirements.txt
 
# npm: キャッシュをクリア
RUN npm ci --only=production && npm cache clean --force
 
# 不要なファイルの削除
RUN rm -rf /tmp/* /var/tmp/* /usr/share/doc /usr/share/man

# NG: レイヤーが多い
FROM alpine:3.19
RUN apk add --no-cache curl
RUN apk add --no-cache git
RUN apk add --no-cache bash
RUN mkdir /app
RUN chmod 755 /app
# -> 5 レイヤー
 
# OK: まとめる
FROM alpine:3.19
RUN apk add --no-cache curl git bash && \
    mkdir /app && \
    chmod 755 /app
# -> 1 レイヤー

# === マルチステージビルドの典型的パターン ===
 
# ステージ 1: 依存関係インストール
FROM node:20-alpine AS deps
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
 
# ステージ 2: ビルド
FROM node:20-alpine AS builder
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY . .
RUN npm run build
 
# ステージ 3: 本番用（最小イメージ）
FROM node:20-alpine AS production
WORKDIR /app
 
# 本番依存関係のみ
COPY --from=deps /app/node_modules ./node_modules
# ビルド成果物のみ
COPY --from=builder /app/dist ./dist
COPY package.json ./
 
RUN addgroup -S app && adduser -S app -G app
USER app
 
CMD ["node", "dist/server.js"]
 
# 結果:
# deps ステージ:    devDependencies 含む (~500MB)
# builder ステージ: ソースコード + ビルドツール含む (~600MB)
# 最終イメージ:     本番依存 + dist のみ (~150MB)

# Go バイナリを UPX で圧縮する例
FROM golang:1.22-alpine AS builder
RUN apk add --no-cache upx
 
WORKDIR /app
COPY . .
RUN CGO_ENABLED=0 go build -ldflags="-w -s" -o /server .
 
# UPX で圧縮（50-70% のサイズ削減）
RUN upx --best --lzma /server
 
FROM scratch
COPY --from=builder /server /server
ENTRYPOINT ["/server"]
 
# 圧縮前: 15MB → 圧縮後: 5MB（起動時間は微増）

# イメージ内の大きなファイルを確認
docker run --rm myapp:latest find / -type f -size +1M -exec ls -lh {} \; 2>/dev/null
 
# レイヤーごとのサイズを確認
docker history myapp:latest --format "table {{.ID}}\t{{.CreatedBy}}\t{{.Size}}"
 
# dive ツールでレイヤーを視覚的に分析
docker run --rm -it \
    -v /var/run/docker.sock:/var/run/docker.sock \
    wagoodman/dive:latest myapp:latest

# Alpine の場合
FROM node:20-alpine
RUN addgroup -S app && adduser -S app -G app
WORKDIR /app
COPY --chown=app:app . .
RUN npm ci --only=production
USER app
CMD ["node", "server.js"]
 
# Debian の場合
FROM node:20-slim
RUN groupadd -r app && useradd -r -g app -d /app -s /sbin/nologin app
WORKDIR /app
COPY --chown=app:app . .
USER app

# 読み取り専用で実行
docker run --read-only \
    --tmpfs /tmp:rw,size=100m \
    --tmpfs /var/run:rw \
    my-app
 
# docker-compose.yml での設定
# services:
#   app:
#     read_only: true
#     tmpfs:
#       - /tmp
#       - /var/run

# Trivy でスキャン
trivy image --severity HIGH,CRITICAL my-app:v1.0.0
 
# 脆弱性があればビルドを失敗させる
trivy image --exit-code 1 --severity CRITICAL my-app:v1.0.0
 
# Docker Scout
docker scout cves my-app:v1.0.0
docker scout recommendations my-app:v1.0.0
 
# Dockerfile 自体のリント
docker run --rm -i hadolint/hadolint < Dockerfile

# NG: 環境変数にシークレットを埋め込む（イメージに残る）
ENV DATABASE_URL=postgres://user:password@host/db
# -> docker history で見える
 
# NG: ARG でシークレットを渡す（ビルドキャッシュに残る可能性）
ARG SECRET_KEY
RUN echo $SECRET_KEY > /app/.secret
 
# OK: BuildKit シークレットマウント（イメージに残らない）
RUN --mount=type=secret,id=db_url \
    cat /run/secrets/db_url > /dev/null && \
    ./setup-database.sh
 
# OK: 実行時に環境変数で渡す
# docker run -e DATABASE_URL=postgres://... my-app

# シークレットを使ったビルド
docker build \
    --secret id=db_url,src=./db_url.txt \
    --secret id=api_key,src=./api_key.txt \
    -t my-app .

# セキュリティ強化された Dockerfile
FROM node:20-alpine
 
# 不要な setuid/setgid ビットを削除
RUN find / -perm /6000 -type f -exec chmod a-s {} \; 2>/dev/null || true
 
# non-root ユーザー作成
RUN addgroup -S app && adduser -S app -G app
 
WORKDIR /app
COPY --chown=app:app . .
RUN npm ci --only=production
 
USER app
 
# ヘルスチェック（non-root でも動作するコマンド）
HEALTHCHECK --interval=30s --timeout=5s --retries=3 \
    CMD wget --no-verbose --tries=1 --spider http://localhost:3000/health || exit 1
 
CMD ["node", "server.js"]

# 実行時のセキュリティオプション
docker run \
    --read-only \
    --cap-drop ALL \
    --cap-add NET_BIND_SERVICE \
    --security-opt no-new-privileges:true \
    --tmpfs /tmp:rw,noexec,nosuid,size=100m \
    --pids-limit 100 \
    --memory 512m \
    --cpus 1.0 \
    my-app:latest

# Docker BuildKit による SBOM 生成
docker buildx build --sbom=true -t my-app:v1.0.0 .
 
# Syft で SBOM 生成
syft my-app:v1.0.0 -o spdx-json > sbom.json
 
# SBOM から脆弱性チェック
grype sbom:sbom.json
 
# Trivy で SBOM を生成
trivy image --format spdx-json --output sbom.json my-app:v1.0.0

# cosign でイメージに署名
cosign sign --key cosign.key myregistry/my-app:v1.0.0
 
# 署名の検証
cosign verify --key cosign.pub myregistry/my-app:v1.0.0
 
# Keyless 署名（Sigstore/Fulcio）
cosign sign myregistry/my-app:v1.0.0
# → OIDCプロバイダーで認証
 
# Docker Content Trust
export DOCKER_CONTENT_TRUST=1
docker push myregistry/my-app:v1.0.0  # 自動的に署名
docker pull myregistry/my-app:v1.0.0  # 署名を検証

# BuildKit を有効化（Docker 23.0+ ではデフォルト）
export DOCKER_BUILDKIT=1
 
# 並列ビルドの確認
docker build --progress=plain -t my-app .
 
# ビルドキャッシュのエクスポート/インポート
docker build \
    --cache-from type=registry,ref=myregistry/my-app:cache \
    --cache-to type=registry,ref=myregistry/my-app:cache,mode=max \
    -t my-app .
 
# ローカルキャッシュ
docker build \
    --cache-from type=local,src=/tmp/docker-cache \
    --cache-to type=local,dest=/tmp/docker-cache \
    -t my-app .

# buildx ビルダーの作成
docker buildx create --name multiarch --use
docker buildx inspect --bootstrap
 
# マルチプラットフォームビルド
docker buildx build \
    --platform linux/amd64,linux/arm64 \
    -t myregistry/my-app:v1.0.0 \
    --push .

# syntax=docker/dockerfile:1
 
# 並列実行可能なステージ
FROM node:20-alpine AS frontend-deps
WORKDIR /frontend
COPY frontend/package.json frontend/package-lock.json ./
RUN npm ci
 
FROM python:3.12-slim AS backend-deps
WORKDIR /backend
COPY backend/requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
 
FROM node:20-alpine AS frontend-build
WORKDIR /frontend
COPY --from=frontend-deps /frontend/node_modules ./node_modules
COPY frontend/ .
RUN npm run build
 
# 最終ステージで統合
FROM python:3.12-slim AS production
WORKDIR /app
COPY --from=backend-deps /usr/local/lib/python3.12/site-packages /usr/local/lib/python3.12/site-packages
COPY --from=frontend-build /frontend/dist ./static
COPY backend/ .
CMD ["gunicorn", "--bind", "0.0.0.0:8000", "app:app"]
 
# frontend-deps と backend-deps は並列でビルドされる（BuildKit）

# GitHub Actions でのキャッシュ設定
name: Build
on: push
 
jobs:
  build:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
 
      - name: Set up Docker Buildx
        uses: docker/setup-buildx-action@v3
 
      - name: Login to Registry
        uses: docker/login-action@v3
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}
 
      - name: Build and push
        uses: docker/build-push-action@v6
        with:
          context: .
          push: true
          tags: ghcr.io/${{ github.repository }}:${{ github.sha }}
          cache-from: type=gha
          cache-to: type=gha,mode=max

# GitLab CI でのキャッシュ設定
build:
  stage: build
  image: docker:24
  services:
    - docker:24-dind
  variables:
    DOCKER_BUILDKIT: "1"
  script:
    - docker build
      --cache-from type=registry,ref=$CI_REGISTRY_IMAGE:cache
      --cache-to type=registry,ref=$CI_REGISTRY_IMAGE:cache,mode=max
      -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA
      --push .

# ビルド時間を詳細表示
DOCKER_BUILDKIT=1 docker build --progress=plain -t my-app . 2>&1 | tee build.log
 
# 各ステージの時間を抽出
grep -E "^#[0-9]+ (DONE|CACHED)" build.log
 
# BuildKit のステータスを確認
docker buildx du
docker buildx prune  # 不要なキャッシュを削除
 
# ビルドキャッシュの使用量確認
docker system df
docker builder prune --all --force  # 全キャッシュ削除

# Hadolint の実行
docker run --rm -i hadolint/hadolint < Dockerfile
 
# 出力例:
# DL3008 warning: Pin versions in apt get install
# DL3009 info: Delete the apt-get lists after installing
# DL3018 warning: Pin versions in apk add
# DL4006 warning: Set the SHELL option -o pipefail
# SC2086 info: Double quote to prevent globbing
 
# 特定のルールを無視
docker run --rm -i hadolint/hadolint \
    --ignore DL3008 --ignore DL3018 < Dockerfile
 
# .hadolint.yaml で設定
# ignored:
#   - DL3008
# trustedRegistries:
#   - docker.io
#   - ghcr.io

# GitHub Actions での Hadolint
name: Lint Dockerfile
on: pull_request
 
jobs:
  hadolint:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: hadolint/hadolint-action@v3.1.0
        with:
          dockerfile: Dockerfile
          failure-threshold: warning

# .hadolint.yaml の詳細設定
ignored:
  - DL3008  # apt パッケージのバージョン未固定
  - DL3018  # apk パッケージのバージョン未固定
 
trustedRegistries:
  - docker.io
  - ghcr.io
  - gcr.io
 
override:
  error:
    - DL3001  # 不正なコマンド
    - DL3002  # root ユーザー
  warning:
    - DL3006  # FROM タグなし
  info:
    - DL3009  # apt lists 未削除
  style:
    - DL3015  # apt --no-install-recommends 未使用

# OCI 標準ラベル
LABEL org.opencontainers.image.title="My Application" \
      org.opencontainers.image.description="Production-ready API server" \
      org.opencontainers.image.version="1.0.0" \
      org.opencontainers.image.authors="team@example.com" \
      org.opencontainers.image.source="https://github.com/example/my-app" \
      org.opencontainers.image.licenses="MIT" \
      org.opencontainers.image.created="2024-01-15T10:30:00Z" \
      org.opencontainers.image.revision="abc123"
 
# ビルド情報を動的に設定
ARG BUILD_DATE
ARG GIT_REVISION
ARG VERSION
LABEL org.opencontainers.image.created=$BUILD_DATE \
      org.opencontainers.image.revision=$GIT_REVISION \
      org.opencontainers.image.version=$VERSION

# HTTP エンドポイントへのヘルスチェック
HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \
    CMD wget --no-verbose --tries=1 --spider http://localhost:3000/health || exit 1
 
# TCP ポートの確認
HEALTHCHECK --interval=15s --timeout=3s --retries=5 \
    CMD nc -z localhost 8080 || exit 1
 
# カスタムスクリプト
COPY healthcheck.sh /usr/local/bin/
HEALTHCHECK --interval=30s --timeout=10s --start-period=30s --retries=3 \
    CMD ["healthcheck.sh"]
 
# gRPC サービスのヘルスチェック
HEALTHCHECK --interval=15s --timeout=5s --retries=3 \
    CMD ["grpc_health_probe", "-addr=:50051"]

# パターン 1: CMD のみ（最もシンプル）
CMD ["node", "server.js"]
# -> docker run myapp (デフォルト実行)
# -> docker run myapp node repl (コマンド上書き)
 
# パターン 2: ENTRYPOINT + CMD（推奨）
ENTRYPOINT ["node"]
CMD ["server.js"]
# -> docker run myapp (node server.js を実行)
# -> docker run myapp repl (node repl を実行)
 
# パターン 3: entrypoint スクリプト
COPY docker-entrypoint.sh /usr/local/bin/
ENTRYPOINT ["docker-entrypoint.sh"]
CMD ["node", "server.js"]

#!/bin/sh
# docker-entrypoint.sh
 
set -e
 
# 環境変数に基づく初期化処理
if [ "$RUN_MIGRATIONS" = "true" ]; then
    echo "Running database migrations..."
    npx prisma migrate deploy
fi
 
# シグナル転送のために exec を使用
exec "$@"

# NG: update と install が別レイヤー
RUN apt-get update
RUN apt-get install -y curl
# -> update のキャッシュが残り、古いパッケージリストで install される可能性
 
# OK: 同じ RUN にまとめる
RUN apt-get update && \
    apt-get install -y --no-install-recommends curl && \
    rm -rf /var/lib/apt/lists/*

# NG: ビルドツールが残る
FROM python:3.12-slim
RUN apt-get update && \
    apt-get install -y gcc python3-dev && \
    pip install numpy pandas
# -> gcc, python3-dev が最終イメージに残る（数百MB）
 
# OK: マルチステージでビルドツールを分離
FROM python:3.12-slim AS builder
RUN apt-get update && apt-get install -y gcc python3-dev
COPY requirements.txt .
RUN pip install --prefix=/install -r requirements.txt
 
FROM python:3.12-slim
COPY --from=builder /install /usr/local
COPY . /app
CMD ["python", "/app/main.py"]

# NG: 同じファイルを何度もコピー
FROM node:20-alpine
WORKDIR /app
COPY . .
RUN npm ci
COPY . .  # <- 無意味な2回目のコピー（キャッシュも壊す）
RUN npm run build
 
# OK: 必要なファイルを段階的にコピー
FROM node:20-alpine
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY . .
RUN npm run build

# NG: ADD を不必要に使う
ADD ./src /app/src          # COPY で十分
ADD https://example.com/file.txt /app/  # レイヤーキャッシュが効かない
 
# OK: COPY を使い、URL は RUN で取得
COPY ./src /app/src
RUN curl -L -o /app/file.txt https://example.com/file.txt
 
# ADD が適切な場面: tar アーカイブの自動展開
ADD archive.tar.gz /app/    # 自動的に展開される

# NG: バージョン情報を ENV で設定（キャッシュが壊れる）
FROM node:20-alpine
ENV APP_VERSION=1.0.0      # 毎リリースで変更 → 以降全レイヤー再ビルド
WORKDIR /app
COPY package.json .
RUN npm ci
COPY . .
 
# OK: ENV は最下部に配置、または LABEL を使用
FROM node:20-alpine
WORKDIR /app
COPY package.json .
RUN npm ci
COPY . .
ARG APP_VERSION=unknown
LABEL version=$APP_VERSION
ENV APP_VERSION=$APP_VERSION

# NG: .dockerignore なしで node_modules を含めてしまう
FROM node:20-alpine
WORKDIR /app
COPY . .           # node_modules (300MB+) もコピーされる
RUN npm ci         # 再インストールするので完全に無駄
 
# OK: .dockerignore で除外 + 段階的コピー
# .dockerignore に node_modules を追加
FROM node:20-alpine
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY . .

# syntax=docker/dockerfile:1
 
FROM debian:bookworm-slim
 
# Heredoc で複数行スクリプトを記述
RUN <<EOF
apt-get update
apt-get install -y --no-install-recommends curl ca-certificates
rm -rf /var/lib/apt/lists/*
EOF
 
# ファイル生成にも使える
COPY <<EOF /etc/nginx/conf.d/default.conf
server {
    listen 80;
    server_name localhost;
    location / {
        proxy_pass http://app:3000;
    }
}
EOF

# syntax=docker/dockerfile:1
 
FROM node:20-alpine AS base
WORKDIR /app
 
# 環境に応じて異なるビルドを実行
ARG NODE_ENV=production
 
FROM base AS development
RUN npm install
CMD ["npm", "run", "dev"]
 
FROM base AS production
RUN npm ci --only=production
CMD ["node", "dist/server.js"]
 
# ビルド時にターゲットを指定
# docker build --target development -t my-app:dev .
# docker build --target production -t my-app:prod .

FROM node:20-alpine
 
# 外部イメージから直接ファイルをコピー
COPY --from=busybox:latest /bin/wget /usr/local/bin/wget
COPY --from=ghcr.io/grpc-ecosystem/grpc-health-probe:v0.4.25 \
    /ko-app/grpc-health-probe /usr/local/bin/grpc_health_probe
 
# 別のイメージからバイナリを取得するパターン
COPY --from=minio/mc:latest /usr/bin/mc /usr/local/bin/mc

# syntax=docker/dockerfile:1
 
# ベースイメージを引数で切り替え
ARG BASE_IMAGE=node:20-alpine
FROM ${BASE_IMAGE}
 
ARG NODE_ENV=production
ARG PORT=3000
ARG LOG_LEVEL=info
 
WORKDIR /app
 
# 条件に応じたインストール
COPY package.json package-lock.json ./
RUN if [ "$NODE_ENV" = "development" ]; then \
        npm install; \
    else \
        npm ci --only=production; \
    fi
 
COPY . .
 
ENV NODE_ENV=$NODE_ENV \
    PORT=$PORT \
    LOG_LEVEL=$LOG_LEVEL
 
EXPOSE $PORT
CMD ["node", "server.js"]

# ベースイメージの更新確認
docker pull node:20-alpine
docker images --digests node:20-alpine
 
# Dependabot / Renovate Bot で自動化
# renovate.json の例:
# {
#   "docker": {
#     "fileMatch": ["Dockerfile$"],
#     "pinDigests": true
#   }
# }

# ダイジェスト固定でベースイメージを指定（最高の再現性）
FROM node:20-alpine@sha256:abc123def456...

# イメージサイズの推移を記録
docker images myapp --format "{{.Tag}}\t{{.Size}}" | sort -V
 
# CI でサイズチェック
MAX_SIZE_MB=200
SIZE=$(docker image inspect myapp:latest --format '{{.Size}}')
SIZE_MB=$((SIZE / 1024 / 1024))
if [ $SIZE_MB -gt $MAX_SIZE_MB ]; then
    echo "ERROR: Image size ($SIZE_MB MB) exceeds limit ($MAX_SIZE_MB MB)"
    exit 1
fi

# dive でレイヤーを分析
dive myapp:latest
 
# docker history で各レイヤーのサイズを確認
docker history --no-trunc --format "table {{.Size}}\t{{.CreatedBy}}" myapp:latest
 
# buildctl で詳細なビルド情報を取得
docker buildx build --progress=plain --metadata-file build-metadata.json -t myapp .

# 演習1: 基本実装のテンプレート
class Exercise1:
    """基本的な実装パターンの演習"""
 
    def __init__(self):
        self.data = []
 
    def validate_input(self, value):
        """入力値の検証"""
        if value is None:
            raise ValueError("入力値がNoneです")
        return True
 
    def process(self, value):
        """データ処理のメインロジック"""
        self.validate_input(value)
        self.data.append(value)
        return self.data
 
    def get_results(self):
        """処理結果の取得"""
        return {
            'count': len(self.data),
            'data': self.data
        }
 
# テスト
def test_exercise1():
    ex = Exercise1()
    assert ex.process(1) == [1]
    assert ex.process(2) == [1, 2]
    assert ex.get_results()['count'] == 2
 
    try:
        ex.process(None)
        assert False, "例外が発生するべき"
    except ValueError:
        pass
 
    print("全テスト合格!")
 
test_exercise1()

# 演習2: 応用パターン
from typing import List, Dict, Optional
from datetime import datetime
 
class AdvancedExercise:
    """応用パターンの演習"""
 
    def __init__(self, max_size: int = 100):
        self._items: List[Dict] = []
        self._max_size = max_size
        self._created_at = datetime.now()
 
    def add(self, key: str, value: any) -> bool:
        """アイテムの追加（サイズ制限付き）"""
        if len(self._items) >= self._max_size:
            return False
        self._items.append({
            'key': key,
            'value': value,
            'timestamp': datetime.now().isoformat()
        })
        return True
 
    def find(self, key: str) -> Optional[Dict]:
        """キーによる検索"""
        for item in reversed(self._items):
            if item['key'] == key:
                return item
        return None
 
    def remove(self, key: str) -> bool:
        """キーによる削除"""
        for i, item in enumerate(self._items):
            if item['key'] == key:
                self._items.pop(i)
                return True
        return False
 
    def stats(self) -> Dict:
        """統計情報"""
        return {
            'total_items': len(self._items),
            'max_size': self._max_size,
            'usage_percent': len(self._items) / self._max_size * 100,
            'uptime': str(datetime.now() - self._created_at)
        }
 
# テスト
def test_advanced():
    ex = AdvancedExercise(max_size=3)
    assert ex.add("a", 1) == True
    assert ex.add("b", 2) == True
    assert ex.add("c", 3) == True
    assert ex.add("d", 4) == False  # サイズ制限
    assert ex.find("b")['value'] == 2
    assert ex.remove("b") == True
    assert ex.find("b") is None
    stats = ex.stats()
    assert stats['total_items'] == 2
    print("応用テスト全合格!")
 
test_advanced()

# 演習3: パフォーマンス最適化
import time
from functools import lru_cache
 
# 最適化前（O(n^2)）
def slow_search(data: list, target: int) -> int:
    """非効率な検索"""
    for i in range(len(data)):
        for j in range(i + 1, len(data)):
            if data[i] + data[j] == target:
                return (i, j)
    return (-1, -1)
 
# 最適化後（O(n)）
def fast_search(data: list, target: int) -> tuple:
    """ハッシュマップを使った効率的な検索"""
    seen = {}
    for i, num in enumerate(data):
        complement = target - num
        if complement in seen:
            return (seen[complement], i)
        seen[num] = i
    return (-1, -1)
 
# ベンチマーク
def benchmark():
    import random
    data = list(range(5000))
    random.shuffle(data)
    target = data[100] + data[4000]
 
    start = time.time()
    result1 = slow_search(data, target)
    slow_time = time.time() - start
 
    start = time.time()
    result2 = fast_search(data, target)
    fast_time = time.time() - start
 
    print(f"非効率版: {slow_time:.4f}秒")
    print(f"効率版:   {fast_time:.6f}秒")
    print(f"高速化率: {slow_time/fast_time:.0f}倍")
 
benchmark()

# デバッグ用ユーティリティ
import logging
import traceback
from functools import wraps
 
# ロガーの設定
logging.basicConfig(
    level=logging.DEBUG,
    format='%(asctime)s [%(levelname)s] %(name)s: %(message)s'
)
logger = logging.getLogger(__name__)
 
def debug_decorator(func):
    """関数の入出力をログ出力するデコレータ"""
    @wraps(func)
    def wrapper(*args, **kwargs):
        logger.debug(f"呼び出し: {func.__name__}(args={args}, kwargs={kwargs})")
        try:
            result = func(*args, **kwargs)
            logger.debug(f"戻り値: {func.__name__} -> {result}")
            return result
        except Exception as e:
            logger.error(f"例外発生: {func.__name__}: {e}")
            logger.error(traceback.format_exc())
            raise
    return wrapper
 
@debug_decorator
def process_data(items):
    """データ処理（デバッグ対象）"""
    if not items:
        raise ValueError("空のデータ")
    return [item * 2 for item in items]

# 設計判断の記録テンプレート
class ArchitectureDecisionRecord:
    """ADR (Architecture Decision Record) の作成"""
 
    def __init__(self, title: str):
        self.title = title
        self.context = ""
        self.decision = ""
        self.consequences = []
        self.alternatives = []
 
    def set_context(self, context: str):
        """背景と課題の記述"""
        self.context = context
        return self
 
    def set_decision(self, decision: str):
        """決定内容の記述"""
        self.decision = decision
        return self
 
    def add_consequence(self, consequence: str, positive: bool = True):
        """結果の追加"""
        self.consequences.append({
            'description': consequence,
            'type': 'positive' if positive else 'negative'
        })
        return self
 
    def add_alternative(self, name: str, reason_rejected: str):
        """却下した代替案の追加"""
        self.alternatives.append({
            'name': name,
            'reason_rejected': reason_rejected
        })
        return self
 
    def to_markdown(self) -> str:
        """Markdown形式で出力"""
        md = f"# ADR: {self.title}\n\n"
        md += f"## 背景\n{self.context}\n\n"
        md += f"## 決定\n{self.decision}\n\n"
        md += "## 結果\n"
        for c in self.consequences:
            icon = "✅" if c['type'] == 'positive' else "⚠️"
            md += f"- {icon} {c['description']}\n"
        md += "\n## 却下した代替案\n"
        for a in self.alternatives:
            md += f"- **{a['name']}**: {a['reason_rejected']}\n"
        return md