레거시 빌더 동작 방식:
Dockerfile의 각 줄을 위에서 아래로 순서대로 실행
→ 의존관계 없는 스테이지도 직렬 실행
→ RUN 명령의 부산물(패키지 캐시 등)이 레이어에 포함
→ 빌드 시크릿을 안전하게 주입할 방법 없음
→ 캐시 무효화 시 해당 줄 이후 모든 레이어 재빌드

BuildKit 동작 방식:
Dockerfile 전체를 파싱 → 의존 그래프(DAG) 생성
→ 독립 스테이지 병렬 실행 (CPU 코어 활용)
→ --mount=type=cache: 패키지 캐시를 레이어 외부에 유지
→ --mount=type=secret: 빌드 시크릿을 임시 마운트
→ --mount=type=ssh: SSH 에이전트 포워딩
→ 최종 이미지에 불필요한 레이어 포함 없음

# 실습 디렉토리 준비
mkdir -p /tmp/docker/part5/exam_23 && cd /tmp/docker/part5/exam_23

# 방법 1: 환경 변수로 활성화 (구버전 Docker)
export DOCKER_BUILDKIT=1
docker build -t myapp:latest .

# 방법 2: docker buildx 사용 (권장)
docker buildx build -t myapp:latest .

# 방법 3: /etc/docker/daemon.json 으로 전역 설정
# { "features": { "buildkit": true } }

# BuildKit 활성화 확인
docker buildx ls
# NAME/NODE       DRIVER/ENDPOINT  STATUS   BUILDKIT  PLATFORMS
# mybuilder *     docker-container running  v0.12.5   linux/amd64
# default         docker           running  v0.11.7   linux/amd64

# syntax=docker/dockerfile:1.6
FROM node:20-alpine

# 이 지시어로 최신 BuildKit 기능을 안정적으로 사용할 수 있습니다
# 1.6 버전부터 --mount=type=cache의 sharing 옵션 개선

docker buildx build .
   │
   ① 빌드 그래프 구성           Dockerfile 전체 파싱 → 스텝 간 의존을 DAG로
   │
   ② 스텝별 캐시 키 계산         (명령 문자열 + 입력 해시 + 부모 스텝 키) → 해시
   │    → COPY·ADD: 복사 대상 파일 내용의 체크섬이 입력
   │    → RUN: 명령 문자열 자체가 입력 (실행 결과·바깥세상은 안 봄)
   │
   ③ 캐시 조회                  계산한 키를 로컬 캐시 → --cache-from 레지스트리 캐시 순으로 검색
   │
   ④ 판정
   │    → HIT (키 일치): 스텝 실행 생략, 저장된 레이어 재사용     "CACHED"
   │    → MISS (키 없음): 스텝 실제 실행 후 결과를 그 키로 저장
   │
   ⑤ 무효화 전파               한 스텝이 MISS면 그 스텝을 부모로 하는 아래 스텝들의
   ▼                           부모 키가 바뀌어, 그 지점부터 사슬 끝까지 연쇄 재실행
[결과]  독립 스텝은 병렬로, 캐시 히트 스텝은 즉시 통과

# 기존 방식 — package.json 변경 시 전체 재설치
FROM node:20-alpine
WORKDIR /app
COPY package*.json ./
RUN npm ci                  # 캐시 무효화 시 수백 MB 재다운로드
COPY . .
RUN npm run build

# syntax=docker/dockerfile:1.6
FROM node:20-alpine

WORKDIR /app

COPY package*.json ./

# npm 캐시 디렉토리를 BuildKit 캐시에 마운트
RUN --mount=type=cache,target=/root/.npm \
    npm ci

COPY . .
RUN npm run build

# npm — 캐시 디렉토리: /root/.npm
RUN --mount=type=cache,target=/root/.npm \
    npm ci --prefer-offline

# yarn — 캐시 디렉토리: /usr/local/share/.cache/yarn
RUN --mount=type=cache,target=/usr/local/share/.cache/yarn \
    yarn install --frozen-lockfile

# pnpm — 캐시 디렉토리: /root/.local/share/pnpm/store
RUN --mount=type=cache,target=/root/.local/share/pnpm/store \
    pnpm install --frozen-lockfile

# pip — 캐시 디렉토리: /root/.cache/pip
COPY requirements.txt .
RUN --mount=type=cache,target=/root/.cache/pip \
    pip install --no-cache-dir -r requirements.txt
# 주의: --no-cache-dir은 pip의 내장 캐시를 끄는 것이 아님
# BuildKit 마운트 캐시와 별개 개념

# apt — 캐시 디렉토리: /var/cache/apt, /var/lib/apt
RUN --mount=type=cache,target=/var/cache/apt,sharing=locked \
    --mount=type=cache,target=/var/lib/apt,sharing=locked \
    apt-get update && apt-get install -y --no-install-recommends \
    curl \
    git \
    && rm -rf /var/lib/apt/lists/*

# Go — 모듈 캐시와 빌드 캐시 모두 마운트
RUN --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache/go-build \
    go build -o /app/server ./cmd/server

# shared (기본값): 여러 빌드가 동시에 읽기/쓰기 가능
RUN --mount=type=cache,target=/root/.npm,sharing=shared \
    npm ci

# locked: 한 번에 하나의 빌드만 접근 (apt 같은 잠금 파일이 있는 경우)
RUN --mount=type=cache,target=/var/cache/apt,sharing=locked \
    apt-get update

# private: 각 빌드가 독립적인 캐시 사본 사용 (격리 필요 시)
RUN --mount=type=cache,target=/tmp/build,sharing=private \
    make build

# ❌ 절대 하지 말 것 — ARG로 시크릿 전달
ARG NPM_TOKEN
RUN npm config set //registry.npmjs.org/:_authToken=$NPM_TOKEN

# docker history로 토큰 노출 확인 가능:
# docker history myimage --no-trunc
# IMAGE  CREATED  CREATED BY
# ...    ...      /bin/sh -c npm config set //registry.npmjs.org/:_authToken=npm_xxxxxxxxxxxx

# syntax=docker/dockerfile:1.6
FROM node:20-alpine

WORKDIR /app
COPY package*.json ./

# --mount=type=secret으로 .npmrc를 빌드 시에만 마운트
RUN --mount=type=secret,id=npmrc,target=/root/.npmrc \
    --mount=type=cache,target=/root/.npm \
    npm ci

COPY . .
RUN npm run build

# 방법 1: 파일로 시크릿 전달
echo "//registry.npmjs.org/:_authToken=${NPM_TOKEN}" > .npmrc
docker buildx build \
  --secret id=npmrc,src=.npmrc \
  -t myapp:latest .

# 방법 2: 환경 변수에서 직접 전달
docker buildx build \
  --secret id=npmrc,env=NPM_TOKEN \
  -t myapp:latest .

# syntax=docker/dockerfile:1.6
FROM python:3.11-slim

WORKDIR /app
COPY requirements.txt .

RUN --mount=type=secret,id=pip_conf,target=/root/.config/pip/pip.conf \
    --mount=type=cache,target=/root/.cache/pip \
    pip install -r requirements.txt

# pip.conf 파일 예시
# [global]
# index-url = https://user:token@private.pypi.company.com/simple/

docker buildx build \
  --secret id=pip_conf,src=./pip.conf \
  -t myapp:latest .

# syntax=docker/dockerfile:1.6
FROM golang:1.21-alpine

# SSH known_hosts 설정
RUN mkdir -p /root/.ssh && \
    ssh-keyscan github.com >> /root/.ssh/known_hosts

WORKDIR /app

# SSH 에이전트를 마운트하여 private 리포지토리에서 모듈 다운로드
RUN --mount=type=ssh \
    --mount=type=cache,target=/go/pkg/mod \
    go mod download

# SSH 에이전트가 키를 로드하고 있는지 확인
ssh-add -l

docker buildx build \
  --ssh default \
  -t myapp:latest .

# 빌드 후 이미지 히스토리 확인 — 시크릿이 보이지 않아야 함
docker history myapp:latest --no-trunc | grep -i token
# (아무것도 출력되지 않아야 정상)

# 레이어 직접 검사
docker save myapp:latest | tar -tvf - | grep npmrc
# (아무것도 출력되지 않아야 정상)

# syntax=docker/dockerfile:1.6

# -- 스테이지 1: 프론트엔드 빌드 (독립적)
FROM node:20-alpine AS frontend-builder
WORKDIR /app/frontend
COPY frontend/package*.json ./
RUN --mount=type=cache,target=/root/.npm npm ci
COPY frontend/ .
RUN npm run build

# -- 스테이지 2: 백엔드 빌드 (독립적, 스테이지 1과 병렬 실행)
FROM golang:1.21-alpine AS backend-builder
WORKDIR /app
COPY go.mod go.sum ./
RUN --mount=type=cache,target=/go/pkg/mod go mod download
COPY . .
RUN --mount=type=cache,target=/root/.cache/go-build \
    go build -o /app/server ./cmd/server

# -- 스테이지 3: 최종 이미지 (스테이지 1, 2 완료 후 실행)
FROM gcr.io/distroless/base-debian12
WORKDIR /app
COPY --from=backend-builder /app/server .
COPY --from=frontend-builder /app/frontend/dist ./static
EXPOSE 8080
ENTRYPOINT ["/app/server"]

# CI 파이프라인 빌드 스크립트 (GitHub Actions 예시)

# 1단계: 레지스트리에서 기존 이미지를 캐시로 불러오면서 빌드
docker buildx build \
  --cache-from type=registry,ref=ghcr.io/myorg/myapp:buildcache \
  --cache-to   type=registry,ref=ghcr.io/myorg/myapp:buildcache,mode=max \
  --tag ghcr.io/myorg/myapp:latest \
  --push \
  .

# mode=min (기본값): 최종 이미지의 레이어만 캐시에 저장
# → 캐시 크기 작음, 중간 스테이지 캐시 없음
docker buildx build \
  --cache-to type=registry,ref=myregistry/myapp:cache,mode=min .

# mode=max: 모든 중간 스테이지 레이어도 캐시에 저장
# → 캐시 크기 크지만 멀티스테이지 빌드에서 최대 효과
docker buildx build \
  --cache-to type=registry,ref=myregistry/myapp:cache,mode=max .

# 빌드 단계별 소요 시간 전체 출력
docker buildx build --progress=plain -t myapp:latest . 2>&1 | tee build.log

# 출력 예시:
# #1 [internal] load build definition from Dockerfile          0.1s
# #2 [internal] load .dockerignore                             0.0s
# #3 [frontend-builder 1/5] FROM node:20-alpine               0.3s
# #4 [backend-builder 1/4] FROM golang:1.21-alpine            0.2s
# #5 [frontend-builder 2/5] COPY frontend/package*.json       0.1s
# #6 [backend-builder 2/4] COPY go.mod go.sum                 0.1s
# #7 [frontend-builder 3/5] RUN npm ci                       38.4s  ← 오래 걸리는 단계
# #8 [backend-builder 3/4] RUN go mod download               22.1s
# ...

# 가장 오래 걸리는 단계 찾기
grep -E '#[0-9]+ .* [0-9]+\.[0-9]+s$' build.log | sort -t' ' -k3 -rn | head -10

# docker-bake.hcl
group "default" {
  targets = ["api", "frontend", "worker"]
}

variable "REGISTRY" {
  default = "ghcr.io/myorg"
}

variable "TAG" {
  default = "latest"
}

target "api" {
  context    = "./services/api"
  dockerfile = "Dockerfile"
  tags       = ["${REGISTRY}/api:${TAG}"]
  cache-from = ["type=registry,ref=${REGISTRY}/api:buildcache"]
  cache-to   = ["type=registry,ref=${REGISTRY}/api:buildcache,mode=max"]
}

target "frontend" {
  context    = "./services/frontend"
  dockerfile = "Dockerfile"
  tags       = ["${REGISTRY}/frontend:${TAG}"]
  cache-from = ["type=registry,ref=${REGISTRY}/frontend:buildcache"]
  cache-to   = ["type=registry,ref=${REGISTRY}/frontend:buildcache,mode=max"]
}

target "worker" {
  context    = "./services/worker"
  tags       = ["${REGISTRY}/worker:${TAG}"]
}

# 모든 타겟을 병렬로 빌드
docker buildx bake --push

# 특정 타겟만 빌드
docker buildx bake api --push

# 드라이 런으로 설정 확인
docker buildx bake --print