7. 安全性與效能

映像檔瘦身

• Distroless / Alpine、Multi-stage build、清除暫存
• .dockerignore 避免洩漏與肥大

權限與機密

• 非 root 使用者、限制檔案權限
• .env、Docker secrets、避免把憑證寫死在 Image

弱點掃描與 SBOM

• Trivy / Grype 掃描、CVE 管理、定期重建
• 產生 SBOM（CycloneDX、SPDX）

資源限制

deploy:
  resources:
    limits:
      cpus: "1.0"
      memory: "512M"

日誌與監控

• docker logs、--log-driver
• cAdvisor + Prometheus、Loki + Grafana