backend scaffold

Dockerfile

@@ -0,0 +1,30 @@
+# 前提：CI 的 validate 阶段已经跑过 ./gradlew :bootstrap:bootJar，
+#      产物通过 GitLab artifacts 传递到 package 阶段，这里直接用，不重新编译。
+# 见 09-build-deploy.md「Dockerfile：复用 CI 产物 + 分层解包」。
+FROM eclipse-temurin:21-jre AS layers
+WORKDIR /layers
+COPY bootstrap/build/libs/*.jar app.jar
+RUN java -Djarmode=tools -jar app.jar extract --layers --launcher --destination .
+
+FROM eclipse-temurin:21-jre
+WORKDIR /app
+
+# 非 root 运行：容器内一旦被攻破，攻击者拿到的也只是一个无特权用户。
+# USER 写数字而不是 appuser，是为了让 K8s 的 runAsNonRoot: true 能在启动前静态校验通过
+# （K8s 无法解析镜像里的用户名，只认数字 UID）。
+RUN useradd --system --uid 10001 --create-home appuser
+USER 10001
+
+# 按变更频率从低到高逐层 COPY，前三层几乎不变，可以吃满 Docker layer 缓存，
+# 每次发版真正推送到 ACR 的通常只有最后一层（几百 KB 的业务代码）
+COPY --from=layers --chown=10001:10001 /layers/dependencies/ ./
+COPY --from=layers --chown=10001:10001 /layers/spring-boot-loader/ ./
+COPY --from=layers --chown=10001:10001 /layers/snapshot-dependencies/ ./
+COPY --from=layers --chown=10001:10001 /layers/application/ ./
+
+# MaxRAMPercentage：JVM 在容器里默认只用可用内存的 25% 做堆，配 2Gi 的 Pod 堆只有 512Mi。
+# ExitOnOutOfMemoryError：OOM 直接结束进程交给 K8s 重启，而不是留一个探针还返回健康的半死 Pod。
+ENTRYPOINT ["java", \
+  "-XX:MaxRAMPercentage=75.0", \
+  "-XX:+ExitOnOutOfMemoryError", \
+  "org.springframework.boot.loader.launch.JarLauncher"]