应用镜像通常包括哪些预装软件和服务？

应用镜像（Application Image）和基础系统镜像（Base OS Image）最大的区别在于，它不再仅仅是一个“裸机”操作系统，而是为了快速部署特定业务场景而打包好的“半成品”。

在国内主流的云平台（如阿里云、腾讯云、华为云等）以及自建私有云环境中，应用镜像通常预装了以下几类软件和服务。我们可以把它们拆解为四个核心层级来看：

1. Web 服务器与反向XX层

这是绝大多数互联网应用的前置入口。预装的软件通常是为了保证高并发下的稳定接入。

• Nginx / Apache：最主流的选择。Nginx 因其高性能和低内存占用，在动静分离、负载均衡场景中几乎是标配。Apache 则在某些需要 .htaccess 动态配置或 PHP 早期版本兼容的场景中保留。
• OpenResty：基于 Nginx + LuaJIT 的高性能平台，常用于对延迟极度敏感的业务，很多国内大厂的内部分发镜像会直接集成这个。
• HAProxy / LVS：如果是更偏向底层网络架构的镜像，可能会预装这些四层负载均衡组件，用于流量分发。

2. 运行环境与中间件层

这是应用代码真正运行的地方。根据语言栈不同，预装内容差异巨大，但有几个“万金油”组合：

• JDK / JRE：对于 Java 生态（Spring Boot/Cloud），OpenJDK 是绝对主力。镜像通常会固定 JDK 版本（如 8, 11, 17, 21），并可能预装 systemd 服务脚本以便开机自启。
• Python 环境：包括 Python 3.x 本身，以及常用的包管理器 pip，有时还会预装 virtualenv 或 conda 的基础依赖。
• Node.js / npm / yarn：前端工程化或 BFF 层常用。
• Docker Engine / Containerd：如果这是一个“容器运行时”镜像，里面会预装轻量级的容器引擎，允许用户在其中再嵌套运行容器（虽然不推荐，但在某些 CI/CD 流水线或复杂微服务调试中存在）。

3. 数据存储与缓存层

为了避免每次启动都从零配置数据库，应用镜像往往会将轻量级或测试级的存储组件一并打包：

• MySQL / MariaDB：注意，生产环境通常建议数据库独立部署。但在开发测试镜像或单体应用镜像中，MySQL 常作为内置组件出现，并预置好初始化的 SQL 脚本。
• Redis：内存数据库几乎是现代应用的标配，用于缓存 Session、热点数据等。镜像中通常会包含 Redis Server 及基础的 redis.conf 优化配置。
• MongoDB / PostgreSQL：针对非关系型或特定关系型需求的镜像也会预装这些。

4. 监控、日志与安全辅助工具

为了让镜像具备“可观测性”，避免上云后还要手动安装 Agent，这部分越来越重要：

• Prometheus Node Exporter：用于采集主机级别的 CPU、内存、磁盘 IO 等指标。
• Filebeat / Fluent Bit：轻量级日志采集器，负责将 /var/log 下的应用日志推送至 ELK 或 SLS（阿里云日志服务）、CLS（腾讯云日志服务）。
• Cloud Monitor Agent：各云厂商自带的监控插件（如阿里云的 cloudmonitor），用于上报主机资源使用率到控制台。
• Fail2ban / UFW / iptables 规则：基础的安全防护，防止暴力破解 SSH 端口。

关键区别：官方镜像 vs. 自定义镜像

你需要特别注意区分两种情况，因为它们的预装内容逻辑完全不同：

A. 云厂商提供的“公共应用镜像”（Marketplace Images）

这类镜像是云厂商或第三方 ISV 制作好的，例如“WordPress 一键安装包”、“LAMP 环境镜像”。

• 特点：高度集成，开箱即用。
• 预装内容：除了上述软件外，还包含了初始化脚本。当你创建一台 ECS/CVM 时，这些脚本会自动执行，生成默认配置文件、创建数据库用户、设置管理员密码等。
• 风险：安全性较差，因为所有用户都用同一套默认凭证；且难以定制。

B. 企业自建的“自定义应用镜像”（Custom Images）

这是通过 CI/CD 流水线构建的，用于生产环境。

• 特点：最小化原则（Minimalism）。
• 预装内容：只包含业务必需的软件。例如，一个纯 API 服务镜像，可能只有 JDK 和 JVM 参数调优脚本，连 Nginx 都不装（由 K8s Ingress 承担）。
• 优势：体积小、启动快、攻击面小、易于版本控制。

给开发者和运维的建议

1. 不要过度依赖预装数据库：除非是本地开发或极小规模演示，否则生产环境的应用镜像不应包含 MySQL/PostgreSQL。数据库应作为独立的服务或 PaaS 实例存在，应用镜像只连接外部数据库。这样可以实现计算与存储分离，便于弹性伸缩和数据持久化。
2. 配置即代码：镜像中预装的软件配置（如 nginx.conf, application.yml）最好通过挂载卷（Volume）或环境变量注入的方式动态传入，而不是硬编码在镜像里。这样同一个镜像可以适配开发、测试、生产不同环境。
3. 安全扫描：预装软件越多，潜在漏洞（CVE）就越多。建议使用 Clair、Trivy 等工具对应用镜像进行漏洞扫描，确保预装的 JDK、Nginx、Redis 等组件没有已知高危漏洞。
4. 权限最小化：应用镜像中的进程应以非 root 用户身份运行（如 www-data 或专用 app 用户），避免容器逃逸风险。

总结来说，一个标准的应用镜像 = OS + Runtime + App Code + Config Scripts + Monitoring Agents。至于具体加什么，取决于你的技术栈和业务需求，核心原则是：够用就好，越精简越好。