A HEALTHCHECK-től sokan önjavító konténert várnak, pedig a sima Docker az unhealthy állapotra nem reagál: nem indít újra, nem állít le, csak átszínezi a docker ps kimenetét. Kipróbáltam, ki olvassa valójában ezt a státuszt, ki cselekszik belőle, és ki az, aki soha le sem futtatja.
Tíz másodperc néma csend minden konténerleállításnál, aztán egy erőszakos kilövés. Ez nem lassú cleanup, hanem a Linux PID 1 különleges viselkedése — és egy gyors kernel-szintű teszttel pontosan megmérhető, mekkora a különbség.
Az ARG-ba vagy ENV-be tett API-token, npm-jelszó vagy AWS-kulcs nem tűnik el a buildel együtt: ott marad a docker history-ban, és publikus GitHub Actions build esetén a provenance attesztációban is. A BuildKit secret mount ezt oldja meg – hands-on kipróbálva, docker history-val és exportált réteggel is ellenőrizve.
A RUN --mount=type=cache kiveszi az npm letöltési cache-ét a Docker rétegek alól, így egy lockfile-változás sem dobja el a már letöltött csomagokat. Csak épp a legtöbb hosted CI-futtatón minden build friss gépen indul – ott ez a trükk önmagában nem sokat ér.