VOLUME指令创建一个指定名称的挂载点，并设置此挂载点为本地主机或其它容器的外部挂载数据卷。VOLUME的值可以是一个JSON数组，如VOLUME [“/var/log/”]，或者多个参数的纯字符串，如VOLUME /var/log或VOLUME /var/log /var/db。
docker run把在base镜像内指定路径已存在的数据复制到这个新创建的数据卷。例如：
这个Dockerfile使得docker run创建一个新的挂载点/myvol，并复制greeting文件到新创建的数据卷。
注意：如果在volume声明之后的任何指令对其挂载点更改了数据，这些更改将会撤消。
USER指令设置运行镜像时使用的用户名或UID，以及Dockerfile中的任何RUN，CMD和ENTRYPOINT指令。
ENTRYPOINT有两种形式：
ENTRYPOINT指令用来配置创建容器时执行的容器命令。
例如，下面的示例将以默认页启动nginx，在80端口监听：
docker run [image]的命令行参数会附加到exec形式ENTRYPOINT所有元素的后面，且会覆盖使用CMD指定的所有元素。这允许命令行参数能够传递到entry point。如docker run [image] -d会传递-d参数到entry point。你可以你使用docker run –entrypoint标志来覆盖ENTRYPOINT指令。
shell形式的ENTRYPOINT能够阻止使用任何CMD或run命令行参数，不过不好的地方是ENTRYPOINT将以/bin/sh -c的子命令执行，且ENTRYPOINT收不到信号。意味着执行的命令的PID不是容器的PID 1 – 收不到来自主机的Unix信号 – 所以无法使用docker stop [container]停止容器。
仅是Dockerfile的最后一个ENTRYPOINT指令起作用。
你可以使用ENTRYPOINT的exec形式设置稳定的默认命令和参数，然后使用同样形式的CMD设置额外的可以修改的默认参数。
当你运行容器，你会看到top是唯一的进程：
我们再看到top的具体参数：
并且可以使用docker stop test来停止这个容器。
下面的Dockerfile显示了使用ENTRYPOINT来在前台运行Apache[作为PID 1运行]：
如果你需要为单个可执行程序编辑一个启动脚本，你可以使用exec和gosu命令来确保最终的执行程序能收到Unix信号：
最后，如果你需要在关闭或协调多个可执行程序时做些额外的清理工作，你需要确保ENTRPOINT脚本能够收到Unix信号，捕获它们并做些额外的工作：
如果使用docker run -it –rm -p 80:80 –name test apache运行镜像，可以用docker exec或docker top来检查容器进程，然后请求脚本停止Apache:
注意：你可以使用–entrypoint来覆盖ENTRPOINT的设置，不过仅可以二进制到exec，如/usr/sbin/apache2 -k start[不仅调用sh -c执行]
可以为ENTRYPOINT指定一个纯字符串，它将运行在/bin/sh -c。这种形式将使用shell处理shell环境变量替换，将忽略任何的CMD或docker run命令行参数。为了确保docker stop能够正确发送信号到ENTRPOINT的可执行程序，记得使用exec执行：
运行这个镜像后，将会看到这个进程的PID为1：
且可以使用docker stop停止进程：
如果忘记使用exec执行命令：
然后运行：
可以看到top进程的PID为是1了。
并且使用docker stop test不能停止进程：
1.Dockerfile应该至少指定一个CMD或ENTRYPOINT指令。
2.当使用容器作为可执行程序时，应该定义ENTRYPOINT。
3.CMD应该用来设置ENTRYPOINT的默认参数。
4.当运行容器带有额外参数时，将会覆盖CMD的参数。
ADD有两种形式：
ADD指令从<src>复制新的文件，目录或远程文件URLs并添加到镜像文件系统的<dest>路径。
可以指定多个<src>资源，这些资源必须是相对于正在构建的源目录（构建的上下文）。
每个<src>可以包含通配符并且使用Go的filepath.Match规则匹配。例如：
<dest>是一个绝对路径，或者是WORKDIR的相对路径。
所有新创建的文件和目录的UID和GID都是0.
当<src>为一个远程文件URL时，新创建的文件和目录权限为600。如果获取的远程文件的HTTP有一个Last-Modified响应头，那么这个响应头的时间戳将设置为新创建的文件和目录的mtime。不过，在ADD期间像其它任意文件的处理过程中，mtime不能决定文件是否已经更改和缓存是否应该更新。
注意：如果通过标准输入传递Dockerfile构建镜像[docker build – < somefile]，那么就没有构建上下文，所以Dockerfile中的ADD指令的<src>只能是远程URL。你也可以通过标准输入传递一个压缩文件：(docker build – < archive.tar.gz),在这个压缩文件根目录的Dockerfile和压缩文件的其它文件将作为构建的上下文使用。
如果远程URL需要验证，你需要使用RUN wget,RUN curl或容器内的其它工具下载文件，因为ADD指令不支持验证功能。
如果<src>的文件已经更改，那么涉及到这个路径的第一个ADD指令将使Dockerfile后面的所有指令缓存失效。其中RUN指令的缓存也将失效。
ADD遵守如下规则：
注意：不会复制目录本身，只是它的内容。
注意：ADD与COPY唯一的区别就是COPY添加本地压缩文件时不会自动解压到容器。对于其它不需要自动解压文件的情况，你应该始终使用COPY。
EXPOSE指令通知Docker，容器运行期间监听指定的网络端口。EXPOSE不会自动使主机的容器端口可访问。要设置监听EXPOSE指定的端口，必须使用-p参数来发布一组端口或-P参数来发布所有EXPOSE的端口。你可以暴露容器的一个端口并在外部发布另一个不同的端口。比如发布容器的80端口到主机的8080端口。
ENV指令设置环境变量的值为。这个值可以用在之后的Dockerfile命令中并替换命令中所有的环境变量。
ENV指令有两种形式，第一种是 ,将设置单个变量为一个值。第一个空格之后的整个字符将设置为这个变量的值 – 包括空格和引号等字符。
第二种形式允许同时设置多个变量。设置这种形式使用了等于号，第一种是没有使用的。像命令行解析，引号和反斜杠可以用来包括空格。
例如：
和：
虽然这两种形式得到的结果一样，但推荐第一种，因为它只生成了一个缓存层。
使用ENV设置环境变量将永久存在于从该镜像运行的容器中。你可以使用docker inspect查看这些值，也可以使用
更改它们。
注意：环境变量的存在可能引起意外的副作用。例如，设置ENV DEBIAN_FRONTEND noninteractive可能会使在基于Debian镜像的apt-get用户感到困惑。要在单个命令中使用变量，可以使用
- RUN <key>=<value> <command>
格式：
LABEL指令添加元数据到一个镜像。一个LABEL是一个键值对。要在LABEL值中包含空格，使用双引号和反斜杠，就像在命令行解析中一样。一些可用的示例：
一个镜像可以有多个label。要指定多个labels，Docker推荐尽可能地把多个labels合并到一个LABEL指令中去。每一个LABEL指令会生成一个新的镜像层，如果你使用多个label，将导致构建出一个低效的镜像。这个示例只生成单个镜像层。
上面的示例可以重写为：
label是累积的，包括FROM镜像的lable。如果Docker遇到一个label/key已经存在，那么新的值将覆盖这个label/key。
要查看一个镜像的label，使用docker inspect命令。
CMD指令有三种形式：
Dockerfile只能使用一个CMD指令。如果你使用了多个CMD那么Docker仅使用最后一个。
CMD的主要作用是为执行容器提供默认值。这些默认值可以包括一个可执行程序，或省略可执行程序(这种情况下需要指定一个ENTRYPOINT指令)。
注意：如果CMD用来提供ENTRYPOINT的默认参数，那么CMD和ENTRYPOINT指令应该使用JSON数组的格式。
注意：exec形式使用了JSON数组，意味着字符外使用双引号而不是单引号。
不论使用是的shell或exec格式，CMD指令设置了当运行镜像时要执行的命令。
如果使用CMD的shell形式，那么将在/bin/sh -c执行：
如果你想不调用shell运行你的，那么你必须以JSON数组表示你的命令并给出这个命令的完整路径。这个数组形式是CMD的首先格式。额外的参数必须单独地使用一个数组的字符串表示：
如果你想每次容器都是执行相同的执行程序，那么你应该考虑ENTRYPOINT和CMD一起使用。
如果用户在docker run指定参数，那么将会覆盖CMD指定的默认参数。
注意：不要把RUN和CMD搞混了。RUN实际上是在构建镜像时执行命令并提交执行结果到镜像；而CMD在构建期间不会执行任何命令，只是为镜像预先设置运行时容器时运行的命令或参数。
RUN指令有两种形式：
RUN指令将在当前镜像层上面的一个新数据层执行命令并提交其结果。这个新提交的镜像层将用于Dockerfile的下一步。
分层RUN指令和生成提交符合Docker的核心概念，其中提交成本低，可以从镜像历史中的任何点创建容器，就像源代码控制一样。
exec形式避免了shell字符的模糊处理，并且可以在没有特定shell的base镜像上使用RUN指令。
shell形式中默认的shell可以使用SHELL命令更改。
在shell形式中你可以使用反斜杠在下一行继续这个RUN指令。例如下面两行：
两行相当于：
注意：要在exec形式中使用不同的shell，而不是/bin/sh，传递想用的shell即可，如，[“/bin/bash”, “-c”, “echo hello”]
注意：exec形式是接一个JSON数组，意味着在单词之外使用双引号而不是单引号。
注意：不像shell形式，exec形式不会调用一个shell再执行命令。意味着常规shell处理不会发生。例如，RUN [ “echo”, “$HOME” ]不会替换$HOME为家目录。如果你想处理此情况，可以直接使用shell形式或直接执行一个shell。如RUN [ “sh”, “-c”, “echo $HOME” ]。
注意：在JSON格式中，有必要转义反斜杠，特别是windows中使用反斜杠作为路径分隔符的情况。[“c:windowssystem32tasklist.exe”] 会视为shell形式，因为这不是一个有效的JSON格式，正确的语法是RUN [“c:\windows\system32\tasklist.exe”]。
RUN指令的缓存不会在下一次构建镜像时自动失效。一个指令的缓存如RUN apt-get dist-upgrade -y会在下一次构建中重用。可以使用–no-cache参数来使RUN指令的缓存失效，例如docker build –no-cache。
或
或
FROM指令为随后的指令设置一个Base Image。因此，一个有效的Dockerfile的第一个指令必须是FROM。镜像可以是任意有效的镜像 – 这个很容易从公共仓库拉取一个镜像。
MAINTAINER指令允许你设置生成这个镜像的作者。
在docker CLi发送上下文到docker daemon之前，它首先先在上下文的根目录查找名为.dockerignore的文件。如果这个文件存在，CLI则更改上下文来排除与这文件里的模式匹配的文件和目录。这帮助避免了发送不必要的大的或敏感的文件和目录到daemon，以及有可能使用ADD或COPY把不必要的文件添加到镜像。
CLI解析.dockerignore为以行为分隔的模式列表，类似于Unix shells的golbs文件。基于匹配的目的，上下文的根目录可以是工作目录或根目录。例如，/foo/bar和foo/bar模式都是排除PATH或URL git仓库根目录的子目录foo下的bar文件。
如果.dockerignore中的一行以#开始，那么这行视为注释，会以CLI解析前忽略。
例如：
行为解释如下：
使用Go的filepath.Match规则完成匹配。除了Go的filepath.Match规则，docker也支持一个特殊的通配符**，用来匹配任意数量的目录。如**/*.go将排除在所有目录中以.go后缀的文件，包括根目录。
以!开始的行表示与排除相反的动作，即包括。如下：
除了README.md，其它的.md文件排除。
放置!例外规则影响的行为：.dockerignore的最后行匹配的文件决定是否是包含或排除。如下：
除了README markdown文件（不含README-secret.md），其它的markdown文件包括全都排除。
再看一个例子：
包括所有的README文件。中间的行没有影响是因为!README*.md匹配了README-secret.md。
你甚至可以使用.dockerignore文件来排除Dockerfile和.dockerignore文件。这些排除的文件仍然会发送到daemon，因为需要它们来工作。不过ADD和COPY命令不再复制它们到镜像。
最后，你可能想指定包括一些文件，而不是排除。那么可以在第一行输入*，随后的行使用!来包括。
注意：由于历史原因，模式.会被忽略。
由EVN指令声明的环境变量也可以用在Dockerfile的一些指令中作为变量使用。转义符也将类似变量的语法转义为语句。
在Dockerfile引用环境变量可以使用$variable_name或${variable_name}。它们是等同的，其中大括号的变量是用在没有空格的变量名中的，如${foo}_bar。
${variable_name}变量也支持一些标准的bash修饰符，如：
word可以是任意的字符，包括额外的环境变量。
转义符可以添加在变量前面：$foo or ${foo}，例如，会分别转换为$foor和${foo}。
示例：
环境变量支持在下面的指令中使用：
也包括：
注意：1.4之前的版本，ONBUILD指令不支持环境变量，即使是与上面列出的指令一起使用。
环境变量的替换在整个命令使用的值是一样的。例如：
def的值是hello，不是bye，不过，ghi的值为bye，因为设置abc为bye的命令与设置ghi命令不同。