docker镜像轻量本质在于rootfs仅含容器进程必需的最小文件系统，不包含内核、bootfs、驱动、桌面环境等冗余组件，通过分层叠加与宿主机内核共享实现高效复用。
理解 Docker 镜像的轻量本质，关键在于看清 rootfs（根文件系统）到底“装了什么”、又“没装什么”。它不是完整操作系统，而是一个最小可行运行视图——只保留容器进程真正需要的文件和目录，其余全部交给宿主机内核兜底。
rootfs 不等于完整发行版：去掉内核，只留“壳”
Docker 镜像中的 rootfs 层，不包含 bootfs（引导加载器 + 内核）。宿主机内核在容器启动时直接复用，镜像只需提供 /bin、/sbin、/etc、/usr、/lib 等标准路径下的必要二进制、配置和共享库。比如一个 Alpine Linux 的 rootfs 仅约 5MB，Ubuntu minimal 镜像 rootfs 约 30–60MB——远小于传统 ISO（几 GB），原因正是剥离了 kernel、initrd、硬件驱动、桌面环境等与容器无关的冗余。
- 镜像里没有 /boot 目录（bootfs 已由宿主机承担）
- 没有内核模块（/lib/modules）、固件（/lib/firmware）
- 默认不带 systemd 或传统 init 进程，多数用精简的 init 或直接运行应用进程
分层叠加让 rootfs 可复用、可裁剪
rootfs 本身是只读的，且被拆成多层：基础 OS 层（如 debian:slim）、语言运行时层（如 openjdk-17-jre）、应用依赖层（如 pip install 的包）、最终应用层（你的代码）。每一层只存增量变更，相同基础层（如相同的 glibc 版本或 curl 二进制）可被数十个镜像共享。
- 构建时用 multi-stage build 可在构建阶段编译程序，再仅把编译产物复制到干净的 minimal rootfs 中，彻底剔除 build 工具链（gcc、make 等）
- 用 distroless 镜像（如 gcr.io/distroless/java）连 shell 都不带，rootfs 仅含 JRE 和应用 jar，体积进一步压缩至 20–40MB
- 查看实际结构：运行 docker export $(docker create ubuntu:22.04) | tar -t | head -20，能直观看到 /bin/sh、/etc/passwd 等核心项，但缺 /usr/src、/var/cache/apt 等构建缓存目录
运行时视角：rootfs 是挂载后才“活”起来的视图
容器启动时，Docker 在 rootfs 各层之上叠加一个可写层（container layer），并用 mount namespace + overlayfs 将它们联合挂载为 /。此时你看到的 /proc、/sys、/dev 并非来自镜像，而是由宿主机 kernel 动态生成并挂载的伪文件系统。
- /proc 和 /sys 是空目录：镜像中不打包它们，运行时由 kernel 自动填充
- /dev 是 tmpfs 挂载：设备节点由 udev 或 devtmpfs 动态创建，镜像无需预置
- 符号链接可能指向 runtime 资源：例如 /usr/bin/python3 → /usr/lib/python3.11，只要 lib 路径存在且 ABI 兼容，就无需打包整个 Python 安装树
精简逻辑的本质：按需供给，拒绝打包一切
Docker 的轻量不是靠“删文件”，而是靠“不放文件”。rootfs 设计遵循 Unix 哲学：每个组件只做一件事，且只提供运行时必需项。它的精简性体现在三个层面：
- 功能裁剪：移除 man pages、locale 数据、文档、测试套件（除非显式安装）
- 格式优化：使用 stripped 二进制、musl libc（Alpine）、静态链接（Go 应用）减少动态依赖
- 挂载解耦：把日志、配置、数据等外部状态通过 volume 或 bind mount 分离，rootfs 保持无状态、不可变
