AIに書かせたDockerfileチェックリスト

重さ

• FROM のベースイメージが、用途に対して大きすぎないか（軽い版を選べないか）
• 軽さを取った結果、調査やネイティブ拡張で困らないか（トレードオフを分かって選んでいるか）
• ビルド用の道具（コンパイラ・開発パッケージ）が最終イメージに残っていないか
• マルチステージにして、最後のイメージには成果物だけを入れられないか
• 入れたものを、同じ RUN の中で片付けているか（あとの行の rm は効かない）
• .dockerignore があり、.git・依存ディレクトリ・.env・ログを外しているか

安全

• USER で非rootに切り替えているか
• ENV／ARG に鍵・トークン・パスワードを書いていないか
• ビルド時だけ必要な秘密を、ビルド時シークレットの仕組みで渡せているか
• （書かれていた場合）その鍵の再発行まで手配したか
• FROM のタグが latest などの動くタグになっていないか
• ダイジェスト固定にした場合、更新の担当と頻度を決めてあるか
• イメージスキャンを1回かけ、結果に目を通したか

その他

• CMD／ENTRYPOINT が配列形式で、停止の合図が届く形になっているか
• 依存インストールとソースコピーの順番が、キャッシュの効く並びになっているか
• 開発用の設定（デバッグポート・認証スキップ等）が残っていないか
• 非推奨の命令や、いまは別のやり方がある手順が混ざっていないか