增量备份核心是识别镜像层变更并仅保存新增或修改层；docker无原生命令，可通过docker history比对层id、记录快照、检测镜像id变更后执行全量save实现可落地的准增量备份。
只对特定镜像版本做增量备份，核心是识别该镜像的层变更，并只保存新增或修改的层，而非重复导出整个镜像。Docker 本身不直接提供“增量 save”命令，但可通过 docker history + 层比对 + 差异归档实现。以下为可落地的操作路径：
确认目标镜像的完整层结构
先获取指定镜像（如 nginx:1.25.3）的所有层 ID 及顺序：
IMAGE_ID=$(docker inspect -f '{{.Id}}' nginx:1.25.3)
docker history --no-trunc --format "{{.ID}}" $IMAGE_ID | grep -v "<missing>"</missing>
输出类似：
sha256:abc123... sha256:def456... sha256:ghi789...
这些是自底向上堆叠的只读层，最上面一层对应镜像顶层。
记录上次备份的层快照
增量的前提是“有参照”。每次备份后，需持久化记录当时已备份的层 ID 列表，例如存为 /backup/nginx-1.25.3.layers.last。
- 首次备份时，用
docker save -o nginx_1.25.3_full.tar nginx:1.25.3并同步写入全部层 ID 到 .layers.last - 后续运行前，读取该文件获得“已备份层集合”
- 用
comm或grep -vFf找出本次新增的层 ID
提取并打包新增层文件
Docker 的层实际存储在 /var/lib/docker/overlay2/（或其他存储驱动目录），但**不建议直接拷贝底层文件**——因路径哈希难映射、无元数据、可能被清理。更稳妥的做法是：
- 对每个新增层 ID，用
docker save导出其“父镜像 + 当前层变更”所构成的最小可运行镜像（需提前构建临时标签） - 或采用间接方式：用
docker build --cache-from模拟复用，再docker commit提取差异，但操作复杂且易污染环境 - 推荐务实方案：将“增量”定义为「自上次全量以来新 pull 或 build 的镜像」，即只对
nginx:1.25.3这个 tag 做全量 save，但仅当docker images nginx:1.25.3显示 IMAGE ID 变更时才执行 —— 这在 CI/CD 中天然成立，且足够可靠
自动化脚本关键逻辑示例
判断是否需要备份（基于镜像 ID 变更）：
CURRENT_ID=$(docker inspect -f '{{.Id}}' nginx:1.25.3 2>/dev/null || echo "")
LAST_ID=$(cat /backup/nginx-1.25.3.id.last 2>/dev/null || echo "")
if [ "$CURRENT_ID" != "$LAST_ID" ]; then
docker save -o /backup/nginx_1.25.3_$(date +%Y%m%d_%H%M).tar nginx:1.25.3
echo "$CURRENT_ID" > /backup/nginx-1.25.3.id.last
fi
这虽非严格“层级增量”，但在生产中更稳定、可审计、恢复快，且避免了手动解析层依赖的风险。
