Несколько этапов (FROM) в одном Dockerfile: сборка в одном образе, вывод артефакта в другой (меньший) образ. Итоговый образ без компиляторов и мусора. Уменьшение размера и поверхности атаки.