Dockerfile multistage build

Uma imagem Docker feita sem cuidado carrega tudo que foi usado para construí-la: compilador, dependências de desenvolvimento, cache do gerenciador de pacotes, código-fonte. Isso incha a imagem, aumenta o tempo de deploy e amplia a superfície de ataque — cada ferramenta a mais lá dentro é uma ferramenta a mais na mão de quem conseguir entrar no contêiner.

O build em vários estágios corta esse problema pela raiz. Um primeiro estágio, o builder, instala tudo e compila. Um segundo estágio parte de uma imagem limpa e copia apenas o resultado, com COPY --from=builder. Tudo que ficou no primeiro estágio é descartado e não aparece na imagem final. Informe a versão do Node e a página gera o Dockerfile com os dois estágios já encadeados.

A ordem das instruções no arquivo gerado não é casual. O package.json é copiado e as dependências instaladas antes do restante do código, porque cada instrução vira uma camada com cache próprio: mudar uma linha do código-fonte não invalida a camada de npm ci, e o build seguinte aproveita o que já estava pronto. Inverter essas duas linhas faz a instalação inteira rodar de novo a cada alteração.