diff --git a/.dockerignore b/.dockerignore
index 5b3eba3..08d6247 100644
--- a/.dockerignore
+++ b/.dockerignore
@@ -28,6 +28,14 @@ docker/.env.*
 # 前端 dist 由构建阶段自己生成，本地那份不要带进去污染
 apps/web/dist/
 
+# apps/ 下的非构建输入。Dockerfile 里是整个目录拷进去的（`COPY apps/web apps/web`），
+# 所以改一篇 docs/ 里的 markdown 也会让 `RUN vite build` 那层失效，白编 160s。
+# 这几样都不被源码 import，挡在上下文外面最省事。
+apps/web/docs/
+apps/web/tests/
+**/CLAUDE.md
+**/README.md
+
 # —— 例外：ARTIFACTS=prebuilt 时，产物本身就是构建输入 ——
 #
 # 这几条必须放在文件最后：dockerignore 是**最后一条匹配的规则说了算**，
@@ -35,6 +43,11 @@ apps/web/dist/
 #
 # ARTIFACTS=build（默认，服务器手动部署走的那条）时它们只是让上下文多传
 # 几十 MB，镜像里用不到；本地根本没编过的话这两个路径不存在，也不影响。
+#
+# ⚠️ 一个代价：`apps/web/dist` 因此会进 builder 的 `COPY apps/web` 那一层，
+# 也就进了它的缓存键 —— 手边有一份内容不同的本地 dist，就会白重编一次前端。
+# 所以 docker/deploy.sh 头上那条手动 rsync 用 --exclude dist 把它挡在服务器外。
+# （CI 走 --prebuilt，builder 整个不进构建图，不受这条影响。）
 !dist/oj2-api
 !apps/web/dist
 !apps/web/dist/**
diff --git a/docker/Dockerfile b/docker/Dockerfile
index aece53f..4991456 100644
--- a/docker/Dockerfile
+++ b/docker/Dockerfile
@@ -62,17 +62,30 @@ RUN bun install --frozen-lockfile \
   || bun install --frozen-lockfile \
   || bun install --frozen-lockfile
 
-COPY . .
+# 源码**分开拷**，别用 `COPY . .`：那样任何一个文件变了都会一次作废下面两条
+# 构建，只改了后端也得陪着重编一次前端（160s）。
+#
+# 顺序是「先前端后后端」，因为 Dockerfile 的缓存是链式的 —— 一层失效，后面全失效。
+# 慢的那条要待在更靠前、更不容易被碰到的位置：
+#   只改 apps/api → 前端两层命中缓存，只重编后端（bun compile，几秒）
+#   只改 apps/web → 前端重编，后端跟着重编，但那点时间无所谓
+#   改 packages/contract → 两边都重编（本来就都依赖它，是对的）
+#
+# 加新的顶层目录 / 根文件时注意：builder 只看得见这里点名拷进来的东西。
+COPY tsconfig.base.json ./
+COPY packages/contract packages/contract
+
+# 前端：产物直接进镜像，不走挂载。
+# 一次构建 = 一个版本，切换那天不会出现「后端换了前端忘了拷」这种半新半旧状态。
+COPY apps/web apps/web
+RUN cd apps/web && bun run build
 
 # 后端：编译成不依赖 node_modules 的单二进制。
 # 能这么编是因为 wasm / 原生模块 / 词典都在源码里用 `with { type: "file" }`
 # 内嵌成了资源，详见 apps/api/src/vendor/jieba.ts 的注释。
+COPY apps/api apps/api
 RUN bun build --compile --target=bun-linux-x64 apps/api/src/main.ts --outfile /build/oj2-api
 
-# 前端：产物直接进镜像，不走挂载。
-# 一次构建 = 一个版本，切换那天不会出现「后端换了前端忘了拷」这种半新半旧状态。
-RUN cd apps/web && bun run build
-
 # ---------------------------------------------------------------- 产物来源
 # 两个来源都归一成同样的布局（/artifacts/oj2-api、/artifacts/web），下面的运行时
 # 阶段只认这个布局，不关心产物是谁编的。
diff --git a/docker/deploy.sh b/docker/deploy.sh
index 49fdd14..2feb89c 100755
--- a/docker/deploy.sh
+++ b/docker/deploy.sh
@@ -18,7 +18,14 @@
 # 代码怎么上到服务器不归它管。没有 git remote 的话，在本机：
 #
 #   rsync -az --delete --exclude node_modules --exclude .git --exclude data \
-#     --exclude 'docker/.env*' ~/Projects/OJ/OJ2/ root@服务器:/root/OJDeploy/OJ2/
+#     --exclude 'docker/.env*' --exclude dist --exclude 'apps/web/dist' \
+#     ~/Projects/OJ/OJ2/ root@服务器:/root/OJDeploy/OJ2/
+#
+# 那两条 --exclude dist 别去掉。不带 --prebuilt 时服务器上根本不需要本机的产物，
+# 而 .dockerignore 末尾为 prebuilt 开的例外（`!apps/web/dist`）让它照样进构建上下文
+# ——于是本机重编一次前端，服务器上 `COPY apps/web` 那层的缓存键就变了，明明没改
+# 源码也要重编 160s。CI 那条路（--prebuilt）反过来必须传产物，它自己的 rsync 在
+# .github/workflows/deploy.yml 里，别照抄这条。
 #
 # 前提：docker/.env 已经填好（内容见 docs/specs/phase5-cutover-runbook.md 第三节）。