A CI-ban vagy egyetlen commitot klónozol, vagy a fetch-depth: 0-val mindent. A partial clone a kimaradt középút: a react 1,1 GB-os klónja helyett 59 MB, mind a 21 658 commitjával. Megmértem, hol gyors és hol fáj nagyon.
Az ARG-ba vagy ENV-be tett API-token, npm-jelszó vagy AWS-kulcs nem tűnik el a buildel együtt: ott marad a docker history-ban, és publikus GitHub Actions build esetén a provenance attesztációban is. A BuildKit secret mount ezt oldja meg – hands-on kipróbálva, docker history-val és exportált réteggel is ellenőrizve.
A RUN --mount=type=cache kiveszi az npm letöltési cache-ét a Docker rétegek alól, így egy lockfile-változás sem dobja el a már letöltött csomagokat. Csak épp a legtöbb hosted CI-futtatón minden build friss gépen indul – ott ez a trükk önmagában nem sokat ér.