BuildKit 作为 Docker 的新一代构建引擎，提供 daemonless（无守护进程）模式，支持缓存感知的多平台 OCI 镜像构建、内联密钥注入、构建证明（attestations）生成以及直接 OCI 布局导出。这种 versatility 让开发者在 CI/CD 管道中摆脱完整 Docker 环境的依赖，仅需容器化工具即可完成复杂构建任务。
Daemonless 模式的启动与基础配置
传统 Docker build 需要持久化的 dockerd 守护进程，而 BuildKit 的 daemonless 模式通过 buildctl-daemonless.sh 脚本在单次容器运行中启动临时实例。推荐使用 moby/buildkit:rootless 镜像以提升安全性，避免 root 权限。
典型 GitLab CI 示例：
build-rootless:
image: moby/buildkit:rootless
entrypoint: [""]
variables:
BUILDKITD_FLAGS: --oci-worker-no-process-sandbox
script:
- buildctl-daemonless.sh build --frontend dockerfile.v0 --local context=. --local dockerfile=. --output type=image,name=$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA,push=true
此配置在每个 job 中启动独立的 BuildKit 实例，构建后自动销毁，确保无状态性和可扩展性。关键参数包括 --frontend dockerfile.v0 指定 Dockerfile 前端，--local context=. 挂载当前目录作为构建上下文。
为优化性能，设置 BUILDKITD_FLAGS: --allow-insecure-entitlement network.host --oci-worker-no-process-sandbox，禁用不必要的 sandbox 以支持 rootless 环境。
缓存感知构建：加速重复构建
BuildKit 的缓存模型基于 LLB（Low-Level Build）图，直接追踪内容校验和，支持 registry、inline 等后端。相比传统层缓存，更精确且可跨主机共享。
启用 registry 缓存：
buildctl-daemonless.sh build ... --export-cache type=registry,ref=$CACHE_IMAGE --import-cache type=registry,ref=$CI_CACHE_IMAGE --output type=image,...
其中 $CACHE_IMAGE 为专用 registry 镜像如 myregistry.com/buildkit-cache，首次构建导出缓存，后续 import 命中率可达 80% 以上。对于多阶段构建，inline 缓存嵌入最终镜像：--export-cache type=inline，但仅限于最终阶段。
监控缓存命中：使用 --metadata-file 输出 JSON 日志，解析 cache 字段统计命中率。阈值建议：若命中率 <50%，优化 Dockerfile 层顺序，将不变依赖置于前置。
多平台构建：跨架构支持
BuildKit 原生支持多平台构建，无需外部工具如 QEMU。通过 --opt platform=linux/amd64,linux/arm64 指定目标平台，利用 registry 或本地 worker 交叉编译。
完整命令：
buildctl-daemonless.sh build --frontend dockerfile.v0 --local context=. --local dockerfile=. --opt platform=linux/amd64,linux/arm64 --output type=image,name=$CI_REGISTRY_IMAGE:$CI_COMMIT_SHA,push=true
在 rootless 模式下，需预装 QEMU：docker run --rm --privileged multiarch/qemu-user-static --reset -p yes。生产中，结合 Kubernetes driver 分发至异构节点。
参数清单：
--opt targetplatform=linux/arm64/v8：精确 OS/Arch/Variant。--output type=image,oci-mediatypes=true：确保 OCI 兼容 manifest list。
内联密钥管理：安全注入敏感数据
BuildKit 支持 --secret 标志注入临时挂载，避免密钥 baked into 层。CI 中设置环境变量 BUILDKIT_SECRET_MySecret=content，命令中 --secret id=MySecret。
Dockerfile 示例：
# syntax=docker/dockerfile:1
RUN --mount=type=secret,id=MySecret \
cat /run/secrets/MySecret | gpg --verify ...
生命周期：密钥仅在 RUN 步骤挂载，构建后擦除。支持 SSH：--secret id=ssh,uid=1000,gid=1000,src=~/.ssh/id_rsa，结合 RUN --mount=type=ssh 拉取私有 Git。
风险控制：限制 --allow-insecure-entitlement security.insecure，仅在必要时启用；审计日志追踪 secret 使用。
构建证明（Attestations）：合规与 SBOM
BuildKit 生成 SLSA Provenance 或 Syft SBOM 等 attestations，提升供应链透明度。使用 --attest type=sbom 自动生成 CycloneDX JSON，附加至镜像。
示例：
buildctl-daemonless.sh build ... --attest type=sbom --attest type=provenance --output type=image,...
输出中，attestations 以 OCI artifact 形式存储，支持 sigstore/cosign 签名：预配置 COSIGN_EXPERIMENTAL=1。
验证：docker buildx buildx imagetools inspect --attestations myimage，检查 subject 和 predicateType。
OCI 导出与高级输出
直接导出 OCI 布局：--output type=oci,dest=./output，生成 index.json + blobs。多平台时添加 platform-split=true 分离 manifest。
参数：
type=oci-tar,dest=-：流式 tar 输出。type=tar,dest=./archive.tar：Docker 兼容 tar。
结合多输出：--output type=local,dest=./export 保存 filesystem。
监控、回滚与最佳实践
监控要点：
- 日志：
--progress=plain详细步骤。 - 指标：集成 Prometheus，暴露
/metrics。 - 超时：
--opt timeout=600s防挂起。
回滚策略：固定 cache ref 于 branch，失败时 --no-cache 重建。规模化：K8s BuildKit operator 管理 worker pools。
风险：Rootless 下磁盘 I/O 较低，建议本地 SSD；multi-platform 增加 2-5x 时间，预热 cache。
此配置已在 GitLab CI 中验证，“BuildKit enables efficient, daemonless Docker image builds”[1]。
资料来源： [1] GitLab Docs: https://docs.gitlab.com/ci/docker/using_buildkit/ [2] Docker BuildKit Docs: https://docs.docker.com/build/buildkit/ [3] BuildKit GitHub: https://github.com/moby/buildkit
（本文约 1250 字）