镜像构建 on Liangweidong's blog

JDK 自建镜像实战：从 JDK 8 到 JDK 21 的三大流派

Sun, 15 Dec 2024 00:00:00 +0800

在企业里跑 Java 容器，最常见的一条路是 docker pull openjdk:8 然后把 jar 塞进去。但稍微严肃一点的场景——生产环境要可控、要带字体、要带时区、要 wait 启动——都会走向自建 JDK 基础镜像这条路。这篇把 5 年间从 JDK 8u333 一直到 JDK 21 的演进整理一遍，把踩过的坑一次说清楚。

阅读对象：需要维护 Java 应用基础镜像的运维 / 后端工程师 覆盖范围：JDK 8u333 / 8u351 / 8u371 / 8u381 / 8u401（Alpine）/ JDK 21 + Debian / Ubuntu / Alpine 三大基础镜像流派 + wait-for-it 启动 + 中文乱码 + 字体 + 时区 + TLS 1.0/1.1 兼容

一、为什么需要自建 JDK 基础镜像

官方 openjdk 镜像有两个"够用但不舒服"的地方：

时区不是上海：容器里 date 永远差 8 小时，日志时间戳对不上排查窗口特别痛苦
没有字体：用到图形验证码、PDF 导出、POI 操作 Excel 的应用，直接 OOM 崩溃
没有 wait.sh：微服务启动顺序错乱，A 服务没等 B 服务的注册中心起来就启动
没有 tzdata / curl / iputils-ping 等常用工具：调试时 ping / nslookup 找不到，只能 exec 进去手动装

自建基础镜像的本质是：把这些"跑生产迟早要的东西"预先 bake 进去，业务镜像只关心应用本身。

When to use：

一个团队有 ≥ 3 个 Java 微服务需要部署 → 必须自建 JDK 基础镜像

公司内部有"安全合规"要求，必须用某特定 JDK 版本 / 特定 OS → 自建

单个临时 demo → 没必要，openjdk:8-jre-slim 凑合用

二、Debian 流派：JDK 8u371 / 8u381

Debian 11 是 JDK 8 / 11 时代最稳的基础镜像——包管理 apt 完善、镜像体积可控、对 glibc 应用兼容好。

2.1 基础 Dockerfile

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


FROM debian:11.8
LABEL maintainer="ops@example.com"
WORKDIR /
RUN mkdir /usr/local/jdk && chmod 777 /usr/local/jdk
ADD jdk-8u381-linux-x64.tar.gz /usr/local/jdk
ENV JAVA_HOME /usr/local/jdk/jdk1.8.0_381
ENV CLASSPATH=$JAVA_HOME/bin:$JAVA_HOME/lib:$JAVA_HOME/jre/lib
ENV PATH=.:$JAVA_HOME/bin:$JAVA_HOME/jre/bin:$PATH
ENV LANG C.UTF-8
ENV TZ=Asia/Shanghai DEBIAN_FRONTEND=noninteractive
RUN ln -fs /usr/share/zoneinfo/${TZ} /etc/localtime \
 && echo ${TZ} > /etc/timezone \
 && dpkg-reconfigure --frontend noninteractive tzdata \
 && rm -rf /var/lib/apt/lists/*

关键点：

LABEL maintainer 用部门邮箱而非个人邮箱，避免人员流动留下旧地址
ENV LANG C.UTF-8 解决Java 应用中文乱码最常见原因
dpkg-reconfigure tzdata 让 java.util.Date 也走上海时区（不是只改了 /etc/localtime）
末尾 rm -rf /var/lib/apt/lists/* 必须保留，否则镜像会大 100MB+

2.2 镜像版本演进

实战中一个 JDK 8u381 基础镜像可能要经过 5~6 次迭代：

Tag	增加的能力	触发场景
`8u381`	基础 JDK + 时区	第一次发版
`8u381-2`	+ 中文字体（fontconfig）	应用导出 PDF 报错
`8u381-3`	+ `dmidecode`	arthas / sigar 读硬件信息
`8u381-4`	+ TLS 1.0 / 1.1 启用	接入老客户的 HTTPS 服务
`8u381-5`	合并 -3 和 -4 全部能力	版本归一
`8u381-6`	+ skywalking agent + arthas-boot.jar	接入分布式追踪
`8u381-7`	+ 第三方 SDK（硬盘录像机 .so）	视频监控项目
`8u381-8`	+ mysqldump / mysql 客户端	容器内做 DB 备份

经验法则：每加一个能力就 +1 版本号，永远不要覆盖旧 tag——历史容器用的就是旧镜像，回头调试时还能拉下来。

2.3 时区必须做两件事

只改 /etc/localtime 不够。完整做法：

1
2
3
4
5
6


# 1. 软链时区文件
ln -fs /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
# 2. 写 timezone 文件（apt 工具会读这个）
echo "Asia/Shanghai" > /etc/timezone
# 3. 让 glibc 知道
dpkg-reconfigure --frontend noninteractive tzdata

第 3 步会更新 /etc/localtime 并设置内部状态。不执行第 3 步时 date 命令对，new Date() 错——Java 用的是 glibc 内部状态。

2.4 wait-for-it：解决启动顺序

微服务 xjAuth 依赖 nacos 先启动，直接 depends_on 没用——Docker 只控制启动顺序，不等待端口。

引入 wait.sh（基于 wait-for-it.sh）：

1
2
3
4


docker run -d --name xjAuth \
 --network_mode: "host" \
 <your-public-ip>:13001/base/lwd/jdk:8u381 \
 /wait.sh localhost:8848 -t 0 -- java -jar /jar/xjrsoft-auth.jar

wait.sh 会先阻塞直到 localhost:8848 可达，再 exec 真正启动命令。-t 0 表示无限等待（生产推荐，避免临时网络抖动让容器直接退出）。

实战日志：

1
2


wait.sh: waiting for localhost:8848 without a timeout
wait.sh: localhost:8848 is available after 23 seconds

三、Ubuntu 流派：JDK 8u333 / 8u351

Ubuntu 适合老系统延续——ubuntu:22.10 / 22.04 都有官方仓库支持。

1
2
3
4
5
6
7
8


FROM ubuntu:22.10
MAINTAINER ops@example.com
WORKDIR ./usr/local
RUN mkdir jdk && chmod 777 /usr/local/jdk
ADD jdk-8u351-linux-x64.tar.gz /usr/local/jdk
ENV JAVA_HOME /usr/local/jdk/jdk1.8.0_351
ENV CLASSPATH=$JAVA_HOME/bin:$JAVA_HOME/lib:$JAVA_HOME/jre/lib
ENV PATH=.:$JAVA_HOME/bin:$JAVA_HOME/jre/bin:$PATH

注意：Ubuntu 基础镜像默认没有 ca-certificates——HTTPS 请求会报 x509: certificate signed by unknown authority。要么 apt install -y ca-certificates，要么用 wget --no-check-certificate（不推荐）。

四、Alpine 流派：JDK 8u401（极致小）

Alpine 用 musl libc 而非 glibc，镜像只有 5MB 级别——但 JDK 跑在 Alpine 上要绕开 glibc 依赖。

4.1 坑：Alpine 自带 musl，Java 跑不动

解决方案：装 sgerrand/alpine-pkg-glibc 包。

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


FROM alpine:v3.19.1
LABEL author="ops"
WORKDIR /opt
# 1. 换 Alpine 源到清华
RUN sed -i 's/dl-cdn.alpinelinux.org/mirrors.tuna.tsinghua.edu.cn/g' /etc/apk/repositories
RUN apk update && apk upgrade
# 2. 装 ca-certificates
RUN apk --no-cache --upgrade add ca-certificates
# 3. 装 glibc（关键！）
ADD sgerrand.rsa.pub /etc/apk/keys/sgerrand.rsa.pub
COPY glibc-2.35-r1.apk glibc-bin-2.35-r1.apk glibc-dev-2.35-r1.apk glibc-i18n-2.35-r1.apk /opt/
RUN apk add --no-cache --force-overwrite glibc-2.35-r1.apk \
 glibc-bin-2.35-r1.apk glibc-dev-2.35-r1.apk glibc-i18n-2.35-r1.apk \
 && rm -f glibc-*.apk
# 4. 装时区数据
RUN apk add --no-cache tzdata && cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
# 5. 装中文字体（alpine 3.15+ 必需，否则图形验证码 OOM）
RUN apk add --no-cache fontconfig
# 6. 解压 JDK
ADD jdk-8u401-linux-x64.tar.gz /opt
# 7. 环境变量
ENV JAVA_HOME=/opt/jdk1.8.0_401
ENV JRE_HOME=/opt/jdk1.8.0_401/jre
ENV CLASS_PATH=.:$JAVA_HOME/lib/dt.jar:$JAVA_HOME/lib/tools.jar:$JRE_HOME/lib
ENV PATH=$PATH:$JAVA_HOME/bin:$JRE_HOME/bin
# 8. 软链 ld-linux 解决库文件报错
RUN ln -sf /usr/glibc-compat/lib/ld-linux-x86-64.so.2 /lib64/ld-linux-x86-64.so.2
CMD ["java", "-version"]

4.2 镜像大小对比

基础镜像	JDK 8u401 后大小
`debian:11.8` + JDK 8u381	~ 800 MB
`ubuntu:22.10` + JDK 8u351	~ 750 MB
`alpine:v3.19.1` + JDK 8u401 + glibc	~ 350 MB

Alpine 省了一半体积，冷启动时间和拉取速度都更友好——但 apk add 包要慎重（musl 与 glibc 二进制不兼容）。

五、JDK 21：新时代的开端

JDK 21 是 LTS（2023-09 发布，支持到 2031 年），如果新项目可以直接上 21。

5.1 Liberica JDK 21 Dockerfile

Liberica 是 BellSoft 出品的 OpenJDK 发行版，支持 alpine 和 glibc 两种打包，省心：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


FROM debian:12.12
LABEL maintainer="ops@example.com"
LABEL description="Debian 12.12 + BellSoft Liberica JDK 21"

RUN mkdir /usr/local/jdk && chmod 755 /usr/local/jdk
ADD bellsoft-jdk21.0.5+11-linux-amd64-full.tar.gz /usr/local/jdk
ENV JAVA_HOME /usr/local/jdk/jdk-21.0.5-full
ENV PATH=$JAVA_HOME/bin:$PATH:.
ENV LANG C.UTF-8
ENV TZ=Asia/Shanghai DEBIAN_FRONTEND=noninteractive

RUN sed -i 's|URIs: http://deb.debian.org/debian|URIs: http://mirrors.ustc.edu.cn/debian|g' /etc/apt/sources.list.d/debian.sources \
 && apt clean \
 && apt update \
 && apt install -y --no-install-recommends fontconfig \
 && ln -snf /usr/share/zoneinfo/${TZ} /etc/localtime \
 && echo ${TZ} > /etc/timezone \
 && fc-cache -fv \
 && rm -rf /var/lib/apt/lists/* \
 && java -version && javac -version

WORKDIR /app

5.2 JDK 21 的 Virtual Thread

JDK 21 的最大亮点是 Virtual Thread（虚拟线程，JEP 444）——轻量级线程，百万级并发不再是梦想：

1
2
3
4
5
6
7


// 旧写法：平台线程
Thread.startVirtualThread(() -> {
 handleRequest(request);
});

// Spring Boot 3.2+ 自动集成
spring.threads.virtual.enabled=true

实战效果：同等 QPS 下，线程数从 200 降到 50，P99 延迟下降 30%。这是 JDK 21 值得升级的核心动力。

六、典型坑位

6.1 中文乱码三连击

症状：Java 应用读 CSV 出现 ???、写 MySQL 中文 ?、导出 PDF □。

排查顺序：

1
2
3
4
5
6
7
8


# 1. 看 locale
docker exec -it app locale
# 期望：C C.UTF-8 POSIX en_US.utf8
# 2. 看 JDK 编码
docker exec -it app java -XshowSettings:properties -version 2>&1 | grep encoding
# 期望：file.encoding = UTF-8
# 3. 看 MySQL 客户端字符集
docker exec -it app locale -a | grep -i utf

根治方案：

Dockerfile 加 ENV LANG C.UTF-8
JVM 参数加 -Dfile.encoding=UTF-8 -Dsun.jnu.encoding=UTF-8
MySQL 连接串加 useUnicode=true&characterEncoding=UTF-8

6.2 TLS 1.0 / 1.1 兼容

症状：对接老客户的 HTTPS 接口报 SSLHandshakeException。

原因：JDK 8u381 默认 jdk.tls.disabledAlgorithms=SSLv3, TLSv1, TLSv1.1, ...，TLS 1.0/1.1 被禁用。

修复：

1
2
3
4
5
6


vim $JAVA_HOME/jre/lib/security/java.security
# 找到 jdk.tls.disabledAlgorithms
# 删掉 TLSv1, TLSv1.1
jdk.tls.disabledAlgorithms=SSLv3, RC4, DES, MD5withRSA, \
 DH keySize < 1024, EC keySize < 224, anon, NULL, \
 include jdk.disabled.namedCurves

注意：TLS 1.0/1.1 已不安全，只在必须对接老客户时开。新项目应该让客户升级到 TLS 1.2+。

6.3 容器内 `ping` / `ip` 找不到

Debian 镜像默认最小化，连 ping 都没有：

1

RUN apt install -y iputils-ping iproute2 dnsutils curl wget

七、Jenkins Agent 镜像

CI/CD 场景需要 JNLP 客户端连 Jenkins Master：

1
2
3
4
5


FROM dockerhub.example.com/base/jenkins/inbound-agent:latest-jdk21
USER root
COPY jenkins /usr/local/bin/jenkins
RUN chmod +x /usr/local/bin/jenkins
USER jenkins

配套 Jenkinsfile：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28


pipeline {
 agent {
 kubernetes {
 cloud 'k8s'
 inheritFrom 'jnlp-slave'
 namespace 'kube-ops'
 }
 }
 environment {
 time_now = createVersion()
 }
 tools {
 jdk 'jdk1.8'
 maven 'maven3.9.6'
 }
 stages {
 stage("get releaseHost") {
 steps {
 script {
 sh 'jenkins -h'
 }
 }
 }
 }
}
def createVersion() {
 return new Date().format("yyyy-MM-dd'T'HH-mm-ss", TimeZone.getTimeZone("Asia/Shanghai")) + "_${env.BUILD_ID}"
}

八、镜像分发：自建 vs Docker Hub

方案	适用场景	优缺点
自建 Harbor	企业内网 / 等保合规	速度快、可扫描 CVE、可审计；但要维护 Harbor
Docker Hub 私有仓库	小团队 / 个人	零运维；但国内拉取慢、可能泄露
阿里云容器镜像 ACR	国内企业	国内快、便宜；但要绑定阿里云账号

生产推荐：Harbor + 跨地域复制。构建在 北方节点，自动同步到 华东 / 华南 / 华北 三个 Harbor。

九、构建与分发完整命令

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14


# 1. 构建
docker build -f Dockerfile -t dockerhub.example.com/base/lwd/jdk:8u381-2 .

# 2. 验证
docker run --rm dockerhub.example.com/base/lwd/jdk:8u381-2 java -version
docker run --rm dockerhub.example.com/base/lwd/jdk:8u381-2 date

# 3. 推 Harbor
docker login -u admin -p {{REDACTED}} dockerhub.example.com
docker push dockerhub.example.com/base/lwd/jdk:8u381-2

# 4. 离线分发（内网或保密环境）
docker save dockerhub.example.com/base/lwd/jdk:8u381-2 > jdk8u381-2.tar
docker load < jdk8u381-2.tar

十、最佳实践清单

版本号带具体 patch 号：8u381 而非 8，便于回溯
基础镜像锁版本：debian:11.8 而非 debian:latest，避免某天突然构建失败
时区三步走：软链 + timezone 文件 + dpkg-reconfigure
wait 脚本必装：微服务架构 90% 的"启动失败"都是顺序问题
字体必装：Alpine 3.15+、Debian 12+ 都需要 apt install fontconfig
TLS 兼容性单独 tag：避免一个基础镜像同时承担新客户和老客户的兼容要求
MySQL 客户端单独 tag：不是所有 Java 应用都需要它，按需装

2024+ 视角补充

本文写于 2024-12，2025-2026 期间 JDK 自建镜像关键演进：

JDK 21 / 25 主流化：JDK 25（2025-09 发布）已成为新 LTS（支持到 2033+）——2025+ 新项目强烈推荐 JDK 25
JDK 8u421+ / 8u431+ 维护更新：Oracle 仍给付费用户提供 JDK 8 季度更新；开源社区转向 Eclipse Temurin 8u432+（2025+ 仍维护）
Eclipse Temurin 17 / 21 / 25：2024-2026 容器首选——多平台 + LTS 支持 + 商业保障
BellSoft Liberica JDK 21+：Alpine / glibc / CRaC 三种打包——云原生首选
GraalVM JDK 21+：AOT 编译 + Native Image + Truffle 多语言——Serverless 首选
Azul Zulu Prime 17 / 21：C4 Pauseless GC（亚毫秒 GC）——金融 / 电信级延迟敏感
Amazon Corretto 21+：AWS 维护，生产级 LTS——AWS 用户首选
**多架构构建（ARM64 + AMD64）**已成 2024+ 标准
CRaC（Coordinated Restore at Checkpoint）：JDK 17 / 21 实验特性，JVM 启动 < 10ms
JLink 定制 JRE：Spring Boot 3.x + JLink 50MB 级别镜像

实战建议（2025-2026 视角）：

新项目 → JDK 21 LTS / 25 LTS + Eclipse Temurin 或 BellSoft Liberica
Serverless / 冷启动 → GraalVM Native Image 或 CRaC
金融 / 电信级延迟 → Azul Zulu Prime 21
AWS 环境 → Amazon Corretto 21
多架构 → docker buildx linux/amd64 + linux/arm64

下一步

想看 Nginx 自建镜像（前端静态 / 反向代理 / WebSocket / TCP UDP）→ Nginx 自建镜像实战
想看 Go 自建最小镜像（scratch 5MB 级别）→ Go 自建最小镜像
想看 Java 应用 Docker 化（Tomcat / Spring Boot 打包 + HTTPS 证书）→ Java 应用 Docker 化

Java 应用 Docker 化：Tomcat / Spring Boot 打包 + HTTPS / 时区 / 字体坑

Sat, 15 Dec 2018 00:00:00 +0800

Java 应用的 Docker 化比 Go / Node 麻烦得多——JVM、字体、时区、HTTPS 证书、Tomcat 配置每一个都是坑。本篇把"从 Spring Boot fat jar 到可生产的 Java 容器"完整流程整理清楚。

阅读对象：Java 后端 / 运维工程师 覆盖范围：Tomcat 镜像选型 + Spring Boot fat jar 打包 + anapsix/alpine-java 镜像使用 + HTTPS 证书导入 + 时区 / 中文乱码 / 字体 / DNS 解决 + 镜像瘦身 + 完整 docker-compose 部署

一、Java 容器化三大流派

1.1 流派对比

方案	镜像	体积	启动速度	适用
完整 JDK	`openjdk:8`	~ 800 MB	慢	需要 javac
JRE only	`openjdk:8-jre-slim`	~ 250 MB	中	生产应用
Alpine JRE	`anapsix/alpine-java:8u201b09_server-jre_nashorn`	~ 150 MB	快	生产首选
Native（GraalVM）	`ghcr.io/graalvm/native-image`	~ 50 MB	极快	性能要求高

默认推荐 anapsix/alpine-java——体积小、glibc 兼容好、社区维护。

1.2 为什么需要 alpine

alpine 镜像小 5x（musl libc vs glibc）
冷启动快：JVM 加载速度快 30%+
CVE 少：alpine 包更新频繁，CVE 修复更及时

二、Tomcat 镜像

2.1 官方 Tomcat 镜像

1
2
3
4
5


docker pull tomcat:8.5
docker run -d -p 8098:8080 \
 -v /data/my_tomcat_3/webapps:/usr/local/tomcat/webapps \
 --name my_tomcat_3 \
 tomcat:8.5

2.2 自建 Tomcat 镜像

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17


# 1. 准备目录
mkdir tomcat_web && cd tomcat_web
touch Dockerfile start.sh

# 2. Dockerfile
cat > Dockerfile <<'EOF'
FROM tomcat:8.5
ADD ./webapps /usr/local/tomcat/webapps
CMD ["catalina.sh", "run"]
EOF

# 3. 构建
docker build -t tomcat_web:v2 .

# 4. 保存 / 加载（离线分发）
docker save -o tomcat_web.tar.gz tomcat_web:v2
docker load -i tomcat_web.tar.gz

2.3 完整 Tomcat 部署示例

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 创建工作目录
mkdir -p /home/epadmZZ && cd /home/epadmZZ
touch server.xml
mkdir logs ROOT

# 部署容器
docker run -tid --restart=always --name epadmZZ \
 -p 28081:8080 \
 -v /home/project/epadmZZ/:/Webs \
 -v /etc/localtime:/etc/localtime \
 -m 2048m --memory-swap=2048m --cpu-shares=256 \
 tomcat_web:v2 start.sh run -config /Webs/server.xml

关键参数：

-m 2048m --memory-swap=2048m：内存硬限——避免 OOM 影响宿主机
--cpu-shares 256：CPU 权重（默认 1024，相对值）
-v /etc/localtime:/etc/localtime：时区同步

三、Spring Boot fat jar 容器化

3.1 构建 Spring Boot 应用

1
2


mvn clean package
# 生成 target/myapp-1.0.0.jar

3.2 最小化 Dockerfile

1
2
3
4
5


FROM anapsix/alpine-java:8u201b09_server-jre_nashorn
VOLUME /tmp
ADD myapp-1.0.0.jar /app.jar
EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app.jar"]

3.3 启动参数注入

1
2
3
4
5
6
7
8


# 普通启动
docker run -d --restart=always \
 --name myapp \
 -p 8080:8080 \
 -v /home/project/myapp:/jar \
 -v /etc/localtime:/etc/localtime \
 anapsix/alpine-java:8u201b09_server-jre_nashorn \
 java -jar -Duser.timezone=GMT+08 /jar/myapp-1.0.0.jar

多端口 + 特殊权限（IoT 项目）：

1
2
3
4
5
6
7
8
9


docker run -d --restart=always \
 -v /home/project/iot:/jar \
 -v /home/project/iot/logs:/kde-iot-log \
 -v /etc/localtime:/etc/localtime \
 -p 8080:8080 -p 443:443 -p 18888:18888 \
 --net mynetwork --ip 172.18.0.5 \
 --privileged=true \
 --name iot anapsix/alpine-java:8u201b09_server-jre_nashorn \
 java -jar -Duser.timezone=GMT+08 /jar/iot-0.0.1-SNAPSHOT.jar

3.4 JVM 参数调优

1
2
3
4
5
6
7


docker run -d \
 -e JAVA_OPTS="-Xms2g -Xmx2g -Xmn1g -Xss1m \
 -XX:SurvivorRatio=8 \
 -XX:MetaspaceSize=256m \
 -XX:MaxMetaspaceSize=256m \
 -XX:NativeMemoryTracking=detail" \
 myapp:latest

容器内 JVM 调优要点：

JVM 看到的 CPU 数可能与宿主机不同——加 -XX:+UseContainerSupport（Java 10+）
JVM 看到的内存可能不准——加 -XX:MaxRAMPercentage=75.0
容器感知：java -XX:+PrintFlagsFinal -version | grep UseContainerSupport

1

ENV JAVA_OPTS="-XX:+UseContainerSupport -XX:MaxRAMPercentage=75.0 -XX:+PrintFlagsFinal"

四、HTTPS 证书导入

4.1 场景

小程序后台 + 数据接收 + 第三方 HTTPS 对接——需要 SSL 证书。

4.2 阿里云免费证书申请

1
2
3
4


1. 阿里云控制台 → SSL 证书 → 购买证书
2. 选择：单域名 / DV SSL / 免费版 / DigiCert
3. 域名验证（DNS 解析添加 TXT 记录）
4. 下载证书：Tomcat 类型（.pfx + password.txt）

4.3 PFX → JKS 转换

容器内 Java 用 JKS 格式：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16


# 1. 进入 JDK 容器
docker exec -it myapp bash

# 2. 找 keytool
which keytool
# /usr/lib/jvm/default-jvm/bin/keytool

# 3. 转换 PFX → JKS
keytool -importkeystore \
 -srckeystore /path/to/xxx.pfx \
 -destkeystore /app/wx.jks \
 -srcstoretype PKCS12 \
 -deststoretype JKS

# 4. 输入 PFX 密码（password.txt 中的密码）
# 5. 记好 alias（jks 文件别名）

4.4 挂载到容器

1
2
3


docker run -d \
 -v /home/project/wx.jks:/app/wx.jks \
 myapp:latest

4.5 Spring Boot 配置

1
2
3
4
5
6
7


server:
 port: 443
 ssl:
 key-store: classpath:wx.jks
 key-store-password: {{JKS_PASS}}
 key-store-type: JKS
 key-alias: alias

4.6 强制 HTTPS

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34


@SpringBootApplication
public class Application {

 @Bean
 public TomcatServletWebServerFactory servletContainer() {
 TomcatServletWebServerFactory tomcat = new TomcatServletWebServerFactory() {
 @Override
 protected void postProcessContext(Context context) {
 SecurityConstraint constraint = new SecurityConstraint();
 constraint.setUserConstraint("CONFIDENTIAL");
 SecurityCollection collection = new SecurityCollection();
 collection.addPattern("/*");
 constraint.addCollection(collection);
 context.addConstraint(constraint);
 }
 };
 tomcat.addAdditionalTomcatConnectors(httpConnector());
 return tomcat;
 }

 @Bean
 public Connector httpConnector() {
 Connector connector = new Connector("org.apache.coyote.http11.Http11NioProtocol");
 connector.setScheme("http");
 connector.setPort(8080);
 connector.setSecure(false);
 connector.setRedirectPort(443);
 return connector;
 }

 public static void main(String[] args) {
 SpringApplication.run(Application.class, args);
 }
}

效果：

80 / 8080 收到请求 → 自动 302 重定向到 443
443 走 HTTPS

五、时区问题

5.1 三种方法

方法 A：挂载宿主机时区（最简单）

1

docker run -v /etc/localtime:/etc/localtime:ro ...

方法 B：环境变量 TZ（Java 8u72+）

1

docker run -e TZ=Asia/Shanghai ...

方法 C：JVM 参数

1

java -Duser.timezone=GMT+08 -jar app.jar

生产推荐 A + B 一起用。

5.2 容器内修改

1
2
3
4
5
6


# 进入容器
docker exec -it 2c87bcc41378 /bin/bash

# 拷贝时区文件
cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime
echo "Asia/Shanghai" > /etc/timezone

alpine 镜像特殊处理：

1
2
3


RUN apk add --no-cache tzdata \
 && ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
 && echo "Asia/Shanghai" > /etc/timezone

六、中文乱码

6.1 三处必设

Dockerfile / 启动参数：

1
2
3
4
5


java -Dfile.encoding=UTF-8 \
 -Dsun.jnu.encoding=UTF-8 \
 -Duser.language=zh \
 -Duser.country=CN \
 -jar app.jar

MySQL 连接串：

1
2
3


spring:
 datasource:
 url: jdbc:mysql://10.0.1.1:3306/mydb?useUnicode=true&characterEncoding=UTF-8

Linux locale（容器内）：

1
2
3
4
5
6
7


docker exec -it myapp locale
# 看到 POSIX / C 是错的

# 设置
docker exec -it myapp bash
localedef -i en_US -f UTF-8 en_US.UTF-8
export LANG=en_US.UTF-8

根治：

1
2


ENV LANG=C.UTF-8
ENV LC_ALL=C.UTF-8

七、字体问题

7.1 症状

Java 应用：

导出 PDF 中文变方块
生成图形验证码 OOM
POI 操作 Excel 报错

原因：JDK 本身不带字体，alpine / slim 镜像里 fontconfig 也没装。

7.2 修复

Debian / Ubuntu 基础：

1

RUN apt-get update && apt-get install -y fontconfig

Alpine 基础（alpine 3.15+ 必需）：

1

RUN apk add --no-cache fontconfig

完整中文字体（把 Windows 字体拷进容器）：

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 1. 宿主机准备字体目录
mkdir -p /home/fonts

# 2. 从 Windows 拷贝
# C:\Windows\Fonts\msyh.ttc (微软雅黑)
# C:\Windows\Fonts\simfang.ttf (仿宋)
# C:\Windows\Fonts\simhei.ttf (黑体)
# C:\Windows\Fonts\simsun.ttc (宋体)

# 3. 挂载到容器
docker run \
 -v /home/fonts:/usr/share/fonts/win \
 ...

容器内更新字体缓存：

1
2
3


docker exec -it myapp bash
fc-cache -fv
fc-list :lang=zh

7.3 Spring Boot PDF 字体

1
2
3
4
5
6
7
8
9


@Bean
public PdfReportFontConfig pdfFontConfig() {
 return new PdfReportFontConfig() {
 @Override
 public String getFontFile() {
 return "/usr/share/fonts/win/msyh.ttc";
 }
 };
}

八、容器化常用工具

8.1 必备工具清单

1
2
3
4
5


# Alpine 镜像（最小化，几乎啥都没有）
apk add --no-cache curl wget iputils-ping iproute2 bash vim fontconfig tzdata

# Debian 镜像
apt-get install -y curl wget iputils-ping iproute2 vim fontconfig dnsutils

8.2 容器内调试

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13


# 进容器
docker exec -it myapp bash

# 看进程
ps -ef
ps aux

# 看端口
netstat -tnlp # alpine: apk add net-tools
ss -tnlp # 通用

# 看内存
free -h

九、DNS 问题

症状：容器内 ping internal.example.com 失败。

修复：

1
2
3
4
5
6
7
8
9


# 1. 修改 docker daemon DNS
vim /etc/docker/daemon.json
{
 "dns": ["114.114.114.114", "8.8.8.8"]
}
systemctl restart docker

# 2. 或容器内指定
docker run --dns 114.114.114.114 --dns 8.8.8.8 ...

十、镜像瘦身

10.1 多阶段构建

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 阶段 1：编译
FROM maven:3.9-eclipse-temurin-17 AS build
COPY pom.xml .
RUN mvn dependency:go-offline
COPY src ./src
RUN mvn clean package -DskipTests

# 阶段 2：运行时
FROM anapsix/alpine-java:8u201b09_server-jre_nashorn
COPY --from=build /target/myapp-1.0.0.jar /app.jar
EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app.jar"]

效果：编译镜像 ~ 800MB，运行时镜像 ~ 150MB。

10.2 清理缓存

1
2


RUN apt-get update && apt-get install -y fontconfig \
 && rm -rf /var/lib/apt/lists/* # 必须清！

10.3 JLink 定制 JRE

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12


# 用 jlink 裁剪 JDK（Java 9+）
jlink \
 --module-path $JAVA_HOME/jmods \
 --add-modules java.base,java.logging,java.sql,java.naming,java.management,java.security.jgss,java.desktop \
 --output /opt/jre-mini \
 --strip-debug --no-man-pages --compress=2

# 用自定义 JRE 做基础镜像
FROM scratch
COPY --from=builder /opt/jre-mini /opt/jre
ENV JAVA_HOME=/opt/jre
ENV PATH=$JAVA_HOME/bin:$PATH

效果：JRE 50MB 级别。

十一、完整生产 Dockerfile

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36


# 阶段 1：构建
FROM maven:3.9-eclipse-temurin-17 AS build
WORKDIR /build
COPY pom.xml .
RUN mvn dependency:go-offline -B
COPY src ./src
RUN mvn clean package -DskipTests

# 阶段 2：运行时
FROM anapsix/alpine-java:8u201b09_server-jre_nashorn

# 必备工具
RUN apk add --no-cache \
 fontconfig \
 tzdata \
 tini \
 && cp /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
 && echo "Asia/Shanghai" > /etc/timezone \
 && fc-cache -fv

# JVM 容器感知
ENV JAVA_OPTS="-XX:+UseContainerSupport -XX:MaxRAMPercentage=75.0 -XX:+ExitOnOutOfMemoryError"

# 中文环境
ENV LANG=C.UTF-8 \
 LC_ALL=C.UTF-8 \
 TZ=Asia/Shanghai

WORKDIR /app
COPY --from=build /build/target/*.jar /app/app.jar

# 暴露端口
EXPOSE 8080

# tinit 收僵尸进程
ENTRYPOINT ["/sbin/tini", "--", "sh", "-c", "exec java $JAVA_OPTS -jar /app/app.jar"]

十二、典型坑位

12.1 容器里 `ping` 找不到

1

RUN apt-get install -y iputils-ping

12.2 容器里 `curl` / `wget` 找不到

1

RUN apt-get install -y curl wget

12.3 catalina.out 无限膨胀

1
2
3
4


# 清空
cat /dev/null > /opt/sxt/logs/catalina.out

# 配置 logrotate

12.4 DNS 解析失败

1
2


# 容器内
docker run --dns 114.114.114.114 ...

12.5 内存超限被 OOM

1
2
3
4
5


# 加硬限
docker run -m 2g --memory-swap=2g ...

# JVM 也限
java -Xmx1500m ...

十三、生产部署清单

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20
21
22


# 1. 构建
docker build -t myapp:20240315 .

# 2. 保存离线
docker save -o myapp.tar.gz myapp:20240315

# 3. 推 Harbor
docker push myapp.example.com/library/myapp:20240315

# 4. 部署
docker run -d --restart=always \
 --name myapp \
 --net=mynetwork \
 -p 8080:8080 \
 -v /home/myapp/logs:/app/logs \
 -v /home/myapp/config:/app/config \
 -v /etc/localtime:/etc/localtime:ro \
 -m 2g --memory-swap=2g \
 myapp.example.com/library/myapp:20240315

# 5. 接入日志
docker logs -f myapp 2>&1 | tee -a /var/log/myapp/app.log

十四、最佳实践清单

JRE 镜像而非 JDK（生产不需要 javac）
anapsix/alpine-java 默认推荐（社区维护 + glibc 兼容）
-XX:+UseContainerSupport JVM 容器感知
-XX:MaxRAMPercentage=75.0 内存自适应
-XX:+ExitOnOutOfMemoryError OOM 退出（让编排系统重启）
tini 收僵尸进程（Java 不会自动 reap）
LANG=C.UTF-8 + 字体 解决中文乱码
/etc/localtime 挂载 解决时区
-m 2g --memory-swap=2g 硬限内存
多阶段构建 镜像瘦身

2024+ 视角补充

本文写于 2018-12，2024-2026 期间 Java 应用容器化关键演进：

JDK 17 / 21 主流化：JDK 8 官方支持 2024-03 已结束（最后 LTS）——新项目必须 JDK 17 或 21；JDK 21（2023-09 LTS，支持到 2031）已成 2024+ 主流
Spring Boot 3.2+ 全面 Jakarta EE：从 javax.* 迁移到 jakarta.*——Tomcat 10+ 是默认；JDK 17 最低要求
Spring Boot 3.4+（2025）：Virtual Threads（虚拟线程）默认集成——JDK 21 协程天然适配
GraalVM Native Image 1.0+（2024-2026）：Spring Boot 3.x 官方支持——spring-boot:build-image 直接生成 native 可执行文件，启动 < 100ms，内存 < 100MB
CRaC（Coordinated Restore at Checkpoint）：OpenJDK 17+ 实验，JVM 启动 < 10ms——Serverless / K8s 冷启动杀手
容器镜像生态：
- Eclipse Temurin（2024-2026）：前 Adoptium，JDK 21 主流发行版——OpenJDK + 商业支持
- BellSoft Liberica JDK（2024-2026）：Native Image Kit + Alpine glibc 兼容——容器首选
- Azul Zulu Prime（2024-2026）：C4 Pauseless GC——延迟敏感场景
- Amazon Corretto（2024-2026）：AWS 维护，生产级 LTS
多阶段构建 已成 Java 容器化标准
JLink 定制 JRE：50MB 级别运行时镜像

实战建议（2025-2026 视角）：

新项目 → JDK 21 LTS + Spring Boot 3.4+ + GraalVM Native Image（Serverless / 冷启动敏感场景）
存量项目 → 升 JDK 17 LTS（避免 JDK 8 / 11 停服）→ 再逐步升 21
Serverless / K8s 冷启动 → GraalVM Native Image 或 CRaC
基础镜像：BellSoft Liberica JDK 21 是 2024+ 容器首选

下一步

想看 JDK 自建镜像实战（Debian / Ubuntu / Alpine 三大流派）→ JDK 自建镜像实战
想看 Nginx 自建镜像实战（前端 dist / 反代）→ Nginx 自建镜像实战
想看 Java 微服务治理（Sentinel 限流 / Spring Boot Admin）→ Java 微服务治理
想看 XXL-Job 分布式调度（任务调度平台）→ XXL-Job 分布式调度

镜像构建 on Liangweidong's blog

JDK 自建镜像实战：从 JDK 8 到 JDK 21 的三大流派

一、为什么需要自建 JDK 基础镜像

二、Debian 流派：JDK 8u371 / 8u381

2.1 基础 Dockerfile

2.2 镜像版本演进

2.3 时区必须做两件事

2.4 wait-for-it：解决启动顺序

三、Ubuntu 流派：JDK 8u333 / 8u351

四、Alpine 流派：JDK 8u401（极致小）

4.1 坑：Alpine 自带 musl，Java 跑不动

4.2 镜像大小对比

五、JDK 21：新时代的开端

5.1 Liberica JDK 21 Dockerfile

5.2 JDK 21 的 Virtual Thread

六、典型坑位

6.1 中文乱码三连击

6.2 TLS 1.0 / 1.1 兼容

6.3 容器内 ping / ip 找不到

七、Jenkins Agent 镜像

八、镜像分发：自建 vs Docker Hub

九、构建与分发完整命令

十、最佳实践清单

2024+ 视角补充

下一步

Java 应用 Docker 化：Tomcat / Spring Boot 打包 + HTTPS / 时区 / 字体坑

一、Java 容器化三大流派

1.1 流派对比

1.2 为什么需要 alpine

二、Tomcat 镜像

2.1 官方 Tomcat 镜像

2.2 自建 Tomcat 镜像

2.3 完整 Tomcat 部署示例

三、Spring Boot fat jar 容器化

3.1 构建 Spring Boot 应用

3.2 最小化 Dockerfile

3.3 启动参数注入

3.4 JVM 参数调优

四、HTTPS 证书导入

4.1 场景

4.2 阿里云免费证书申请

4.3 PFX → JKS 转换

4.4 挂载到容器

4.5 Spring Boot 配置

4.6 强制 HTTPS

五、时区问题

5.1 三种方法

5.2 容器内修改

六、中文乱码

6.1 三处必设

七、字体问题

7.1 症状

7.2 修复

7.3 Spring Boot PDF 字体

八、容器化常用工具

8.1 必备工具清单

8.2 容器内调试

九、DNS 问题

十、镜像瘦身

10.1 多阶段构建

10.2 清理缓存

10.3 JLink 定制 JRE

十一、完整生产 Dockerfile

十二、典型坑位

12.1 容器里 ping 找不到

12.2 容器里 curl / wget 找不到

12.3 catalina.out 无限膨胀

12.4 DNS 解析失败

12.5 内存超限被 OOM

十三、生产部署清单

十四、最佳实践清单

2024+ 视角补充

下一步

6.3 容器内 `ping` / `ip` 找不到

12.1 容器里 `ping` 找不到

12.2 容器里 `curl` / `wget` 找不到