kaniko 构建失败需通过--verbosity=info/debug暴露具体run/copy错误，context必须为绝对路径或远程地址，私有镜像需挂载secret格式的config.json至/kaniko/.docker/config.json，镜像臃肿主因是未清理apt缓存及快照模式不当。
kaniko 执行失败时 error building image: failed to execute command 怎么定位
这个错误本质是 kaniko 容器在构建过程中执行某条指令失败，但默认日志不显示具体哪条 RUN 或 COPY 出了问题。关键不是重试，而是让日志暴露真实上下文。
- 加
--verbosity=info或--verbosity=debug启动参数，否则只报顶层错误 - 检查
context路径是否正确：kaniko 不支持相对路径（如../src），必须用绝对路径或gs:///s3://等远程地址 - 确认
Dockerfile中所有COPY源文件都在 context 内——kaniko 不像 Docker daemon 那样能跨目录访问宿主机文件 - 如果用了
COPY --from=builder多阶段构建，确保 builder 阶段确实存在且没被跳过（kaniko 对 stage name 大小写敏感）
如何让 kaniko 正确读取私有 Registry 的镜像作为 base 镜像
kaniko 默认不继承节点上的 ~/.docker/config.json，所以即使集群节点已登录私有 registry，FROM private-registry.example.com/my-base:latest 仍会 401。
- 把
config.json挂载进 kaniko 容器的/kaniko/.docker/config.json路径（注意路径和文件名都固定） - 挂载方式必须是 Secret（不能是 ConfigMap），因为 config.json 含凭证；Secret 数据需 base64 编码后写入
- 若用
gcr.io/kaniko-project/executor:v1.22.0及之后版本，可改用--registry-mirror+--insecure-registry绕过认证（仅限测试环境） - 避免在
Dockerfile中硬编码 token 或用户名密码，这会导致镜像层泄露
为什么 kaniko 构建的镜像比本地 docker build 大一倍
根本原因是 kaniko 默认不自动清理中间层，尤其当 RUN apt-get install 后没配 && apt-get clean，缓存和包管理器残留全进了最终镜像。
- 所有
RUN指令必须显式清理：比如RUN apt-get update && apt-get install -y curl && rm -rf /var/lib/apt/lists/* - 禁用
--snapshotMode=redo（默认值），改用--snapshotMode=full—— 前者会为每个文件变动打快照，容易重复记录未变更内容 - 避免在
Dockerfile中用COPY . /app整体复制，改用.dockerignore排除node_modules、__pycache__等无用目录（kaniko 支持 .dockerignore） - kaniko 不支持
BUILDKIT，所以别指望# syntax=docker/dockerfile:1带来的优化效果
在 Kubernetes Job 中运行 kaniko，怎么传参又安全又可控
Job 的 args 字段直接拼接参数极易出错，尤其含空格或特殊字符时；而环境变量传参又没法覆盖所有选项（比如 --context 必须是 args）。
立即学习“Python免费学习笔记（深入）”；
- 用
args固定传基础参数：[ "--context", "dir:///workspace", "--dockerfile", "/workspace/Dockerfile", "--destination", "$(REGISTRY)/$(IMAGE):$(TAG)" ] - 用
env注入动态值：定义REGISTRY、IMAGE、TAG环境变量，再通过$(VAR)在 args 中引用（Kubernetes 支持这种展开） - 不要把
--tarPath指向共享 PVC 路径——多个 Job 并发时会冲突，应指向空目录或用emptyDir - 务必设
securityContext.runAsUser: 0，否则 kaniko 进程可能因权限不足无法读取某些文件系统元数据
kaniko 的构建逻辑和本地 docker build 不是同一套机制，很多“理所当然”的写法在这里会失效。最常被忽略的是 context 边界和凭据加载路径——这两点一旦错，错误信息几乎不提示真正原因。
