分层校验是防范Docker镜像被篡改最直接、最底层的手段，它基于镜像每层内容寻址的SHA256摘要（layer digest）实现防伪，任何文件修改、指令调整或顺序变更均导致digest变化，从而暴露篡改；可通过docker history、docker inspect和docker save等原生命令验证，需结合签名机制形成纵深防御。
分层校验是防范Docker镜像被篡改最直接、最底层的手段。它不依赖签名或外部信任体系，而是基于镜像自身结构——每一层都是内容寻址的只读快照，任何改动都会导致哈希值变化，从而暴露篡改行为。
理解镜像分层与内容寻址机制
Docker镜像由多个只读层叠加而成，每层对应Dockerfile中一条指令（如COPY、RUN）。关键在于：每层都通过其文件系统变更内容计算出唯一的SHA256摘要（即layer digest），这个摘要写入镜像manifest中，不可绕过。
- 修改任意文件（哪怕一个空格）、增删命令、调整指令顺序，都会改变该层及后续所有层的digest
- 镜像最终ID（
Image ID）就是顶层manifest的SHA256值，它由所有层digest和配置文件hash拼接后计算得出 - 因此，层digest就是天然防伪水印，无需额外签名也能验证原始性
执行分层校验的三种实用方式
不依赖工具链，仅用原生Docker命令即可完成基础校验：
-
查看各层digest与构建指令：
docker history --no-trunc <image></image>，比对输出中的IMAGE列（实际为层digest缩写）是否与可信来源发布的digest一致 -
提取完整层摘要列表：
docker inspect <image> -f '{{range .RootFS.Layers}}{{.}}{{"\n"}}{{end}}'</image>，得到全部layer digest，可逐层与构建日志或CI产物存档比对 -
验证某一层是否被替换：用
docker save <image> | tar -t</image>解包后，对blobs/sha256/xxx目录下的每个layer tar.gz单独运行sha256sum，结果必须与inspect中对应digest完全匹配
把分层校验嵌入CI/CD和部署流程
人工核对易出错，应自动化固化校验逻辑：
- 在CI流水线中，构建完成后立即执行
docker inspect提取所有layer digest，并写入制品仓库的元数据或Git标签注释中 - 部署脚本增加预检步骤：拉取镜像后，调用
docker inspect获取当前层摘要，与CI存档的digest清单逐项比对，任一不匹配则中止部署 - 配合多阶段构建，在
build阶段末尾加入校验断言，例如：[[ "$(docker inspect --format='{{index .RootFS.Layers 2}}' myapp:dev)" == "sha256:abc123..." ]]
分层校验的局限与补充建议
它能发现“内容变了”，但无法回答“谁改的”或“为什么变”。需结合其他机制形成纵深防御：
- 单靠
docker history无法识别ADD远程URL类指令引入的动态内容风险，需配合源码扫描 - 层digest不包含构建上下文（如.dockerignore遗漏敏感文件），建议在构建前先校验上下文哈希
- 推荐与签名验证并用：分层校验确保“镜像没被改”，签名验证确保“这镜像是谁签发的”，二者缺一不可
