Как правильно контейнеризовать Node.js или Next.js приложение для продакшна?

Собирать многоэтапно, фиксировать версию базового образа, ставить зависимости из lock-файла (npm ci), запускать от непривилегированного пользователя и отдавать сигналы процессу напрямую — форма CMD ["node", "server.js"] вместо запуска через shell, иначе SIGTERM не дойдёт и остановка будет по таймауту. Для Next.js включают output: 'standalone' и копируют только .next/standalone, .next/static и public. Конфигурация приходит переменными окружения на старте, секреты — из хранилища секретов, а не из аргументов сборки; в образ добавляют проверку состояния для оркестратора.