用途：在编写或优化 Dockerfile 时使用 BuildKit 扩展能力，包括缓存挂载、构建期密钥挂载、heredoc 多行 RUN 语法，以及多平台构建与缓存后端配置。
主要能力：
- 语法指令：每个 Dockerfile 顶部必须写 # syntax=docker/dockerfile:1，以启用 heredoc、--mount、COPY/ADD 的 --chmod/--link/--parents/--exclude 等特性。
- 挂载类型：cache（跨构建持久缓存）、secret（不写入镜像层的凭据）、ssh（转发宿主 SSH agent 克隆私有仓库）、bind（只读挂载上下文或其它阶段文件）、tmpfs（临时内存文件系统）。
- heredoc：用 RUN <<EOF 写多行脚本，避免 && 链式拼接；块内必须加 set -e，否则仅最后一条命令的退出码决定成败。也可用 COPY <<EOF 直接生成配置文件。
- 缓存挂载：为 apt、npm、yarn、pnpm、pip、Go、Cargo、Maven、Bundler、NuGet、Composer 等包管理器指定缓存目录；apt 必须用 sharing=locked，其余默认 shared。
- 密钥挂载：以文件或环境变量方式注入，构建时用 docker build --secret id=...,src=... 传入；密钥变化不会自动使缓存失效，需要时用 CACHEBUST 构建参数。
- 跨平台构建：BuildKit 自动提供 TARGETPLATFORM、TARGETOS、TARGETARCH、TARGETVARIANT、BUILDPLATFORM 等 ARG，在阶段内需显式声明 ARG TARGETOS TARGETARCH 才能在 RUN 中使用；配合 docker buildx build --platform 构建多架构镜像。
- 缓存后端：inline、registry、local、gha、s3、azblob；CI/CD 中建议 mode=max。
使用方式：按需在 RUN 前加 --mount 参数，构建命令传入对应 --secret、--ssh 或 --cache-to/--cache-from 参数。
限制与注意：禁止把密钥放进 ENV 或 ARG；缺少语法指令时挂载与 heredoc 会解析报错；bind 挂载默认只读，写入不会持久化；tmpfs 不持久。具体示例与反模式见其 references 目录及 Docker 官方文档。