Dockerfile 怎么写：多阶段构建 Dockerfile + docker compose 编写提示词（体积小、非 root、可缓存）

你是一名负责公司容器平台的 DevOps 工程师。请帮我把下面的项目容器化，目标是：镜像小、构建可缓存、以非 root 运行、不把密钥打进镜像。

## 项目情况
- 语言、框架与版本：[语言框架与版本]
- 依赖与锁文件：[如 package-lock.json/poetry.lock]
- 构建命令与产物：[构建命令与产物目录]
- 启动命令与监听端口：[启动命令与端口]
- 需要的外部服务：[如 PostgreSQL、Redis]
- 部署目标：[本机开发/单台服务器/K8s]
- 现有 Dockerfile 或构建报错（没有就写无）：
  [现有文件或报错]

## 交付物
1. Dockerfile（多阶段）：依赖安装阶段 → 构建阶段 → 运行阶段。要求：
   - 基础镜像固定到具体版本标签，说明 slim 与 alpine 的取舍（alpine 用 musl，部分 Python 包和原生扩展可能需要重新编译）；
   - 先只复制锁文件再安装依赖，让依赖层可以被缓存；
   - 运行阶段只保留运行所需文件，用 USER 切换到非 root 用户；
   - CMD 用 exec 形式（JSON 数组），让应用直接接收停止信号，并说明应用作为 PID 1 时如何优雅退出（自行处理 SIGTERM 或使用 init）；
   - 构建期需要的密钥用 BuildKit 的 secret 挂载，不写进 ARG 或 ENV；
   - 合适时加 HEALTHCHECK。
2. .dockerignore：至少排除 .git、本地依赖目录、构建产物、.env 和日志。
3. docker-compose.yml：应用 + 外部服务；数据库数据用具名卷持久化；用 healthcheck 加 depends_on 的 condition: service_healthy 控制启动顺序；配置通过 env_file 或 secrets 注入；写上重启策略。按现行 Compose 规范，不写已废弃的 version 字段。
4. 常用命令：构建、启动、看日志、进入容器、清理。

## 要求
- 每个关键指令后面用注释说明为什么这样写。
- 不确定的信息（如产物目录、端口）在文件里用 TODO 标出，并在最后汇总，不要猜。
- 最后给一张自查表：镜像大小预估、是否非 root、是否有密钥泄露风险、缓存是否生效、时区与字符集是否需要设置。

高亮处换成你自己的内容：[语言框架与版本]、[构建命令与产物目录]、[启动命令与端口]、[如 PostgreSQL、Redis]、[本机开发/单台服务器/K8s]、[现有文件或报错]