Docker

Docker

Thời gian: 3 buổi × 90 phút = 4.5 giờ
Output: Dockerfile + docker-compose cho stack Next.js + NestJS + PostgreSQL + Redis

Vấn đề

“Chạy được trên máy tôi” không có nghĩa chạy được production. Làm sao đảm bảo dev, staging, production giống nhau? Làm sao build image nhỏ, an toàn, khởi động nhanh?

Bảng quyết định

Lựa chọn	Khi nào dùng	Khi nào KHÔNG dùng
Docker	Mọi project có > 1 service (FE + BE + DB)	Chỉ 1 static site deploy Vercel
docker-compose	Local dev, staging, solo deploy < 5 services	Production multi-node (dùng Swarm/K8s — Nhánh A)
Multi-stage build	Giảm image size, tách build deps vs runtime deps	Image đã nhỏ sẵn (Alpine + copy binary)
Docker Desktop	Local dev macOS/Windows	Linux server (dùng Docker Engine)

Quyết định mặc định

Docker + docker-compose cho mọi project trong lộ trình. Multi-stage build bắt buộc. Không dùng latest tag.

Anti-pattern

• FROM node:latest → không reproducible, có thể break bất cứ lúc nào.
• Copy toàn bộ source rồi npm install → image to, layer cache không hiệu quả.
• Chạy container với root user → security risk.
• Không có HEALTHCHECK → orchestrator không biết container đã sẵn sàng chưa.

Checklist chi tiết

Dockerfile

• Multi-stage: stage build (devDependencies) → stage production (dependencies only)
• Pin base image version: node:20.11.0-alpine3.19
• COPY package*.json trước, RUN npm install sau → tận dụng layer cache
• COPY source sau cùng → chỉ rebuild layer này khi code đổi
• Chạy với USER node (non-root)
• EXPOSE đúng port, dùng ENV cho configurable port

docker-compose

• Define services: app, db, redis, nginx
• Networking giữa containers (default bridge hoặc custom network)
• Volumes cho persistent data (db data, logs)
• Environment variables qua .env file, không hardcode secrets
• depends_on + healthcheck để đảm bảo thứ tự khởi động
• restart policy: unless-stopped cho production

Health Checks & Security

• HEALTHCHECK trong Dockerfile hoặc docker-compose
• Không commit .env vào repo
• Scan image: docker scan hoặc Trivy (CI pipeline)
• Read-only root filesystem nếu có thể
• Limit resource: cpus, memory trong docker-compose

War Story: Container khởi động trước DB

Bối cảnh: docker-compose up → NestJS container crash vì PostgreSQL chưa sẵn sàng. Dev thêm restart: always nhưng app vẫn lỗi 10 lần trước khi DB xong.

Quyết định: Dùng depends_on kết hợp condition: service_healthy + HEALTHCHECK trong Dockerfile Postgres. Hoặc dùng entrypoint script đợi DB sẵn sàng (wait-for-it.sh).

Bài học: depends_on chỉ đợi container start, không đợi service sẵn sàng. Luôn có cơ chế retry hoặc healthcheck đúng.