1. 基础配置：在 Docker 中通过 PHP CLI 调用脚本的镜像与权限设计
1.1 选择合适的 PHP CLI 镜像
选择正确的 PHP CLI 镜像是第一步，直接影响脚本执行的稳定性、扩展支持以及镜像体积。常用的官方镜像如 php:8.1-cli 提供完整的 PHP CLI 环境，Alpine 变体则在体积上更小，但需要自行安装一些系统依赖。对于需要扩展的场景，优先考虑可预编译扩展的镜像或在 Dockerfile 中显式安装所需组件。
在设计 Docker 镜像时，要评估内置扩展、操作系统库版本以及与 CI/CD 流水线的兼容性。如果脚本依赖数据库驱动、消息队列客户端或图片处理库，确保镜像内已包含或能快速安装这些依赖，避免运行时阻塞。
FROM php:8.1-cli-alpine
# 安装常用依赖与扩展示例
RUN apk add --no-cache libzip-dev zlib-dev \&& docker-php-ext-configure zip \&& docker-php-ext-install zip pdo_mysql
1.2 设定工作目录与非特权用户
在 Docker 容器中以非 root 用户运行 PHP CLI 有助于提升安全性与可维护性。通过 WORKDIR 指定项目根目录、再通过 USER 切换到非特权用户，可以有效降低潜在的权限风险。
以下示例展示了一个基本的工作流：创建一个专用用户、设置工作目录，并将应用代码拷贝到容器中。这样即使脚本需要用户输入或读取敏感文件，也能在受限权限下执行。
FROM php:8.1-cli
RUN addgroup -S app && adduser -S -G app app
WORKDIR /app
COPY . /app
USER app
2. 在 Docker 中调用脚本的基本方法
2.1 直接在容器内执行脚本
最直接的方式是通过 php 命令执行脚本，例如执行 scripts/process.php。在容器内以工作目录为根的方式运行，可以方便地传递参数，如 --temperature=0.6。该做法适合一次性任务和简单的临时任务。
执行命令时建议使用 -volume 绑定、-w 工作目录 与 参数化传参，确保脚本能访问所需的输入与输出路径。
docker run --rm \-v "$PWD":/app \-w /app \php:8.1-cli \php scripts/process.php --temperature=0.6
2.2 通过 ENTRYPOINT 与 CMD 的组合启动脚本
将入口点（ENTRYPOINT）固定为执行 PHP 脚本的命令，并通过 CMD 提供默认参数，可以让容器在短时间内复用，且便于在运行时覆盖参数。这样在编排任务时只需改变 CMD，即可灵活控制要执行的脚本与参数。ENTRYPOINT+CMD 的组合是生产环境中常用的模式。
下面的 Dockerfile 示例展示了一个典型的入口点配置：将脚本作为入口点、将温度参数设为默认值，必要时可通过 docker run 覆盖 CMD。
FROM php:8.1-cli
WORKDIR /app
COPY . .
ENTRYPOINT ["php", "/app/scripts/process.php"]
CMD ["--temperature=0.6"]
3. 参数管理与温度控制：从命令行到环境变量的灵活切换
3.1 通过命令行参数传递温度参数（--temperature=0.6）
将 温度参数 作为命令行参数传递，是最直接、最显式的控制方式。为了确保参数的可控性，建议在 PHP 脚本内使用 getopt 或 参数解析库，对输入进行校验与默认值回退。
示例 PHP 代码片段演示以下要点：从命令行获取 temperature，并提供默认值。这样即使调用方未显式传参，脚本也能稳定执行。
3.2 使用环境变量管理参数与密钥
将参数放入环境变量中，可以让同一个镜像在不同的任务中复用，同时避免在命令行暴露敏感信息。容器编排（如 Docker Compose）中通过 environment 字段注入变量，是一种简洁的做法。
示例展示了如何在 PHP 脚本中读取环境变量，以及在 Compose 文件中设置 TEMPERATURE。通过环境变量统一管理参数，可实现快速切换而无需修改镜像。
# docker-compose.yml 片段
services:worker:image: my-php-appenvironment:- TEMPERATURE=0.6
4. 性能与可靠性：资源控制、日志与容错策略
4.1 资源限制与调度
在 生产级别的 Docker 部署中，正确设置内存、CPU 限制是保障脚本稳定运行的关键。通过 docker run 的 --memory 或 --cpus 选项，或在编排工具中统一声明资源上限，可以避免单个任务占用过多资源导致其它容器受影响。
结合 PHP CLI 的执行特性，合理的资源限制还能帮助控制最大并发、避免长时间阻塞进程，从而提升吞吐量与可预测性。
docker run --rm \-m 512m --cpus="1.0" \-v "$PWD":/app -w /app \php:8.1-cli \php scripts/process.php --temperature=0.6
4.2 日志记录、输出与持久化
将执行日志导出到宿主机或挂载的卷，是实现问题诊断与审计的重要手段。可以将输出重定向，或在容器内直接写入日志文件，并通过卷挂载实现持久化。
统一日志路径、错误重定向、以及定期轮转，是确保长期运行任务的关键点。
docker run --rm \-v "$PWD/logs":/app/logs \-w /app \php:8.1-cli \php scripts/process.php --temperature=0.6 > /app/logs/run.log 2>&1
5. 安全性与可维护性：最小权限、凭据与版本管理
5.1 最小权限的容器用户
安全性建议采用最小权限原则，即避免 root 用户 直接运行应用。通过在 Dockerfile 中创建专用用户、设置 USER，并控制组权限，可以降低权限提升风险。
示例中包含的用户与组创建，以及将应用切换到该用户的步骤，都是实现最小权限的常见做法。
FROM php:8.1-cli
RUN addgroup -S app && adduser -S -G app app
USER app
WORKDIR /app
COPY . /app
5.2 环境变量与凭据的安全注入
敏感信息如数据库密码、密钥等应避免硬编码到镜像中，优先使用外部注入的方式，如 docker secrets、环境变量或外部密钥管理系统。对于简单场景，Docker Compose 的 secrets 或环境变量也能提供安全性提升。
将参数与凭据解耦后，升级、回滚和审计会变得更加简单可靠。
# docker-compose.yml 片段（使用 secrets）
services:worker:image: my-php-appsecrets:- db_password
secrets:db_password:file: ./secrets/db_password.txt
5.3 版本管理与回滚策略
为避免“千疮百孔”的镜像积累，建议对生产用镜像采用标签化版本管理（如 8.1-cli-alpine-20240601）并结合 CI/CD 自动化构建与回滚策略。每次变更都应附带可追溯的变更日志，便于在故障时快速定位。
在运行时通过显式版本和不可变镜像，能显著提升可预测性与稳定性。
FROM php:8.1-cli-alpine@sha256:abcdef123456...
