Docker Katman Cache ve İmaj Boyutu

Tek bir Java dosyası değiştirdin ve paketleme dakikalarca sürdü. Bütün kütüphaneler yeniden indirildi — oysa kütüphane listesine hiç dokunmadın.

Tek bir kural

Docker her talimat için bir katman?Terimin tanımını açkatmanDockerfile'daki her talimatın ürettiği, yeniden kullanılabilen ara imaj. Bir katman değişince ondan sonraki tüm katmanlar yeniden kurulur.Katmanlar birikimlidir: bir katmanda indirip sonrakinde sildiğin dosya alt katmanda durmaya devam eder ve imaj boyutundan düşmez.Sözlükte gör → üretir ve bir katmanı yeniden kullanır ancak girdileri değişmemişse.

Kritik kısmı şu: bir katman geçersizleşirse, aynı aşamada altındaki her katman da geçersizleşir.

FROM ...              ✓ cache
WORKDIR /app          ✓ cache
COPY . .              ✕ kaynak değişti
RUN ./mvnw package    ✕ üstü ıskaladı → bu da ıskalar

Dördüncü satırın girdileri aslında değişmemiş olabilir. Fark etmez — zincir kırıldığı an aşağısı tamamen yeniden çalışır.

Kendin gör

Şu sırayla dene:

1. Önce COPY . . + Bir Java dosyası. ~99 saniye. Bağımlılık indirmesi yeniden çalıştı.
2. Önce pom.xml’e geç. Aynı değişiklik ~29 saniye. Tek fark: iki satırın yeri.
3. Değişikliği Hiçbir şey yap, .dockerignore anahtarını kapat. Build yine ~107 saniye. Hiçbir şey değişmediği hâlde.
4. Çok aşamalıya geç. Süre benzer ama imaj 672 MB’tan 252 MB’a düşüyor.
5. Değişikliği Temel imaj yap. Her şey yeniden çalışıyor — ve bu doğru davranış.

Sıralama: nadir üste, sık alta

Kural, kuralın kendisinden çıkar. Cache’i korumak istiyorsan az değişeni yukarı koy.

1
FROM eclipse-temurin:21-jdk
2
WORKDIR /app
3
COPY . .
4
RUN ./mvnw package -DskipTests

1
FROM eclipse-temurin:21-jdk
2
WORKDIR /app
3
COPY pom.xml .
4
RUN ./mvnw dependency:go-offline      # pom.xml değişmedikçe cache'te kalır
5
COPY src ./src
6
RUN ./mvnw package -o -DskipTests

pom.xml ayda birkaç kez değişir, src/ günde onlarca kez. İki satırın yerini değiştirmek build süresini üçte bire indirir.

.dockerignore — sanılandan önemli. Simülatördeki 3. adım en sinsi senaryo: hiçbir şey değişmediği hâlde cache hiç tutmuyor.

Sebep şu: COPY . . tüm dizini kopyalar, target/ de dahil. Yerelde bir kez mvn package çalıştırdıysan target/ değişmiştir, dolayısıyla katman geçersizdir.

target/
.git/
.idea/
*.md

İki ayrı kazanç var:

• Cache geçerliliği. Build çıktıları bağlamdan çıkınca katman gereksiz yere geçersizleşmez.
• Bağlam boyutu. Docker, tek satır çalıştırmadan önce bağlamın tamamını daemon’a gönderir. 240 MB yerine 12 MB göndermek her build’in başına saniyeler ekler ya da çıkarır.

Çok aşamalı build

Derlemek için JDK, Maven ve tüm bağımlılıklar gerekir. Çalıştırmak için hiçbiri gerekmez.

1
FROM eclipse-temurin:21-jdk AS build
2
WORKDIR /app
3
COPY pom.xml .
4
RUN ./mvnw dependency:go-offline
5
COPY src ./src
6
RUN ./mvnw package -o -DskipTests
7

8
FROM eclipse-temurin:21-jre
9
COPY --from=build /app/target/app.jar app.jar
10
ENTRYPOINT ["java","-jar","/app.jar"]

Son FROM’dan sonrası imaja girer; öncesi build makinesinde kalır. 672 MB → 252 MB.

İkinci, daha az bilinen kazanç: aşamalar ayrı cache zincirleridir. Kaynak kod değiştiğinde çalıştırma aşamasının FROM ...-jre katmanı cache’te kalır, çünkü o değişiklik onun aşamasını ilgilendirmez.

Boyut neden önemli: her deploy’da registry’den çekilen bayt, her node’da tutulan disk ve saldırı yüzeyi. JRE imajında derleyici yoktur — bir saldırganın kullanabileceği araç da yoktur.

Bir adım ötesi: layered jar. Spring Boot fat jar’ı tek bir dosyadır, yani tek bir katman. Uygulama kodunun bir satırı değişse 70 MB’lık katmanın tamamı yeniden iner.

1
RUN java -Djarmode=layertools -jar app.jar extract
2
COPY --from=build /app/dependencies/ ./
3
COPY --from=build /app/application/ ./     # yalnızca bu katman değişir

Bağımlılıklar ve uygulama kodu ayrı katmanlara bölünür. Deploy’da yalnızca birkaç yüz kilobayt aktarılır.

Hepsini bir arada görmek ister misin? Aşağıda bir bankanın havale servisi için küçük bir proje var: sıralama, çok aşamalı build ve layered jar aynı dosyada.

1
# Build stage: JDK, Maven and every library. None of it ships.
2
FROM eclipse-temurin:21-jdk AS build
3
WORKDIR /app
4
COPY mvnw pom.xml ./
5
COPY .mvn .mvn
6
# Cached until pom.xml changes.
7
RUN ./mvnw -q dependency:go-offline
8
COPY src ./src
9
# Tests run in their own CI job; this stage only packages.
10
RUN ./mvnw -q -o package -DskipTests \
11
 && cp target/transfer-service.jar application.jar \
12
 && java -Djarmode=tools -jar application.jar extract --layers --destination extracted
13

14
# Run stage: JRE only, with its own cache chain.
15
FROM eclipse-temurin:21-jre
16
WORKDIR /app
17
RUN useradd --system --uid 10001 transfer
18
# Rarely changing layers first: libraries, the Boot loader, then our own code.
19
COPY --from=build /app/extracted/dependencies/ ./
20
COPY --from=build /app/extracted/spring-boot-loader/ ./
21
COPY --from=build /app/extracted/snapshot-dependencies/ ./
22
COPY --from=build /app/extracted/application/ ./
23
USER transfer
24
# Core banking credentials arrive at runtime from the secret store, never at build time.
25
ENTRYPOINT ["java", "-jar", "application.jar"]

target/
.git/
.idea/
*.md
# Local credentials for the core banking sandbox: never part of the build context.
.env
secrets/
*.p12

1
# Many first Dockerfiles look like this, and it does work.
2
FROM eclipse-temurin:21-jdk
3
WORKDIR /app
4
# Any edited file breaks the cache here, and without a .dockerignore
5
# the .env file with the sandbox credentials lands in this layer too.
6
COPY . .
7
# So every build downloads all the libraries again.
8
RUN ./mvnw package -DskipTests
9
# The JDK, Maven and the whole source tree ship to production.
10
ENTRYPOINT ["java", "-jar", "target/transfer-service.jar"]

Tuzaklar ve CI’da cache

Yerelde çalışan cache, CI’da çoğu zaman çalışmaz — her job temiz bir makinede başlar ve yerel katman deposu boştur.

Çözüm, cache’i registry üzerinden paylaşmaktır:

docker buildx build \
  --cache-from type=registry,ref=myapp:buildcache \
  --cache-to   type=registry,ref=myapp:buildcache,mode=max .

Bu satır olmadan yukarıdaki tüm sıralama çabası CI’da hiçbir işe yaramaz — yerelde kazandığın süreyi orada geri verirsin.

Kendini sına