第九章：基于 Docker 的持续集成：代码检查、单元测试、镜像构建

将应用容器化之后，CI 流水线的核心任务也随之升级：不仅要编译代码、运行测试，还要构建出可部署的 Docker 镜像。本章深入讲解基于 Docker 的持续集成流水线中的三个关键环节——代码质量检查、单元测试与Docker 镜像构建，涵盖 SonarQube 集成、测试容器化、多阶段构建与构建缓存优化等实战技巧。

一、基于 Docker 的 CI 流水线概览
在容器化时代，CI 流水线的典型结构如下：

text
代码提交 → 拉取代码 → 依赖安装 → 代码质量检查 → 单元测试 → 构建 Docker 镜像 → 推送镜像仓库
与传统 CI 相比，基于 Docker 的 CI 有两个显著变化：

构建环境容器化：CI Runner 在 Docker 容器中执行所有任务，环境一致性得到保障。

产出物是镜像而非 JAR/WAR：最终制品是可运行的 Docker 镜像，而非传统的应用包。

二、代码质量检查：SonarQube 集成
代码质量检查是 CI 流水线的第一道质量门禁。SonarQube 是最主流的静态代码分析平台，支持 30+ 种语言，能够检测代码中的 Bug、漏洞、坏味道和重复代码。

2.1 在 CI 流水线中集成 SonarQube
以 GitLab CI 为例，集成 SonarQube 的步骤如下：

# .gitlab-ci.ymlstages:-build-quality-scan-deployvariables:SONAR_HOST_URL:"https://sonarqube.example.com"SONAR_TOKEN:$SONAR_TOKEN# 在 CI/CD 变量中配置# 构建阶段build:stage:buildimage:openjdk:11-jdk-slimscript:-mvn clean compile-Dmaven.test.skip=true# 代码质量扫描阶段quality-scan:stage:quality-scanimage:sonarsource/sonar-scanner-cli:latestscript:-sonar-scanner-Dsonar.projectKey=my-project-Dsonar.sources=.-Dsonar.java.binaries=target/classes-Dsonar.coverage.jacoco.xmlReportPaths=target/site/jacoco/jacoco.xml-Dsonar.qualitygate.wait=true# 等待质量门禁结果，失败则阻断流水线only:-main-merge_requests

2.2 质量门禁（Quality Gate）
SonarQube 的质量门禁是 CI 流水线的关键控制点。当扫描结果不满足预设阈值时（如新增 Bug 数量 > 0、代码覆盖率 < 80%），流水线会失败并阻断后续环节。

配置建议：

为 main 分支设置严格的质量门禁（所有指标必须达标）

为 feature 分支设置较宽松的门禁（允许一定比例的技术债务）

将质量门禁结果作为合并请求的必检项

2.3 在 GitHub Actions 中集成 SonarQube

# .github/workflows/ci.yml-name:SonarQube Scanuses:SonarSource/sonarqube-scan-action@v4env:SONAR_TOKEN:${{secrets.SONAR_TOKEN}}SONAR_HOST_URL:${{vars.SONAR_HOST_URL}}with:args:>-Dsonar.projectKey=my-project -Dsonar.sources=src -Dsonar.java.binaries=target/classes -Dsonar.coverage.jacoco.xmlReportPaths=target/site/jacoco/jacoco.xml

三、单元测试：在容器中运行
单元测试是 CI 流水线的第二道质量门禁。在容器化 CI 中，单元测试也在 Docker 容器中执行，确保测试环境的可复现性。

3.1 在 GitLab CI 中运行测试

test:unit:stage:testimage:maven:3.8.4-openjdk-17script:-mvn testartifacts:reports:junit:target/surefire-reports/*.xmlpaths:-target/surefire-reports/coverage:'/Coverage: \d+\.\d+%/'

3.2 测试容器化的高级实践
并行测试：对大型项目，可在多个 Docker 容器中并行运行不同测试套件，显著缩短测试时间。

test:unit:stage:testparallel:4script:-mvn test-Dgroups=group$CI_NODE_INDEX

测试容器共享缓存：使用 Docker volume 在测试容器之间共享 Maven 依赖缓存：

variables:MAVEN_OPTS:"-Dmaven.repo.local=$CI_PROJECT_DIR/.m2/repository"cache:paths:-.m2/repository/

3.3 测试报告与覆盖率
将测试报告作为 CI 的 Artifact 保存，便于开发人员下载查看：

artifacts:paths:-target/surefire-reports/reports:junit:target/surefire-reports/*.xmlexpire_in:30 days

四、Docker 镜像构建
镜像构建是容器化 CI 流水线的核心产出环节。

4.1 多阶段构建（Multi-stage Builds）
多阶段构建是 Docker 镜像优化的核心技巧，它允许在一个 Dockerfile 中使用多个 FROM 指令，最终只将运行时需要的文件复制到最终镜像中。

dockerfile

阶段1：构建阶段（使用完整 JDK）

FROM maven:3.8.4-openjdk-17 AS builder
WORKDIR /app
COPY pom.xml .
RUN mvn dependency:go-offline
COPY src ./src
RUN mvn package -DskipTests

阶段2：运行阶段（使用精简 JRE）

FROM openjdk:17-jre-slim
COPY --from=builder /app/target/*.jar /app/app.jar
EXPOSE 8080
ENTRYPOINT [“java”, “-jar”, “/app/app.jar”]
多阶段构建的收益：

最终镜像只包含 JRE 和 JAR 包，不包含 Maven、JDK 等构建工具

镜像体积可从数百 MB 降至数十 MB

4.2 构建缓存优化
合理利用 Docker 缓存可以显著加速镜像构建：

原则：将变化频率低的指令放在 Dockerfile 前面，变化频率高的指令放在后面。

dockerfile

✅ 正确：先复制 pom.xml（变化少），安装依赖（利用缓存）

COPY pom.xml .
RUN mvn dependency:go-offline # 这一层会被缓存，除非 pom.xml 变化

后复制源码（变化频繁）

COPY src ./src
RUN mvn package
使用 BuildKit 加速：Docker BuildKit 支持并行执行构建步骤，进一步提升构建速度。

DOCKER_BUILDKIT=1dockerbuild-tmyapp.

4.3 在 GitLab CI 中构建镜像
GitLab CI 支持两种 Docker 构建方式：

方式一：Docker-in-Docker（dind）

build-image:stage:packageimage:docker:latestservices:-docker:dindvariables:DOCKER_HOST:tcp://docker:2375DOCKER_DRIVER:overlay2script:-docker build-t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA .-docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA

方式二：使用 BuildKit（推荐）

build-image:stage:packageimage:docker:latestservices:-docker:dindvariables:DOCKER_BUILDKIT:1script:-docker build--cache-from $CI_REGISTRY_IMAGE:latest-t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA .-docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA

4.4 在 GitHub Actions 中构建镜像
使用 docker/build-push-action 是 GitHub Actions 中最推荐的镜像构建方式：

-name:Build and push Docker imageuses:docker/build-push-action@v5with:context:.push:truetags:ghcr.io/${{github.repository}}:${{github.sha}}cache-from:type=ghacache-to:type=gha,mode=max

cache-from: type=gha 利用 GitHub Actions 的共享缓存，大幅加速后续构建。

五、CI 流水线完整示例
将以上三个环节组合成一条完整的 GitLab CI 流水线：

stages:-build-quality-scan-test-packagevariables:MAVEN_OPTS:"-Dmaven.repo.local=.m2/repository"SONAR_HOST_URL:"https://sonarqube.example.com"cache:paths:-.m2/repository/# 1. 编译build:stage:buildimage:maven:3.8.4-openjdk-17script:-mvn clean compileartifacts:paths:-target/classes/# 2. 代码质量扫描quality-scan:stage:quality-scanimage:sonarsource/sonar-scanner-cli:latestscript:-sonar-scanner-Dsonar.projectKey=myapp-Dsonar.qualitygate.wait=truedependencies:-buildonly:-main-merge_requests# 3. 单元测试test:unit:stage:testimage:maven:3.8.4-openjdk-17script:-mvn testartifacts:reports:junit:target/surefire-reports/*.xmldependencies:-build# 4. 构建并推送镜像package:stage:packageimage:docker:latestservices:-docker:dindvariables:DOCKER_BUILDKIT:1script:-docker build-t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA .-docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHAdependencies:-buildonly:-main

六、小结
基于 Docker 的持续集成将传统 CI 的“编译→测试→打包”升级为“编译→测试→构建镜像→推送仓库”。三个核心环节各有侧重：

代码质量检查：SonarQube + 质量门禁，确保代码健康度

单元测试：容器化执行 + 并行策略，保证功能正确性

镜像构建：多阶段构建 + 缓存优化，产出轻量、安全的镜像