docker镜像是由多个只读层堆叠而成的只读模板，每层对应dockerfile一条指令，通过联合文件系统（如overlay2）叠加为统一视图；底层采用内容寻址与写时复制机制，实现空间节省、构建加速、秒级启动和安全隔离。
可以把 Docker 镜像理解成一张“叠在一起的透明胶片”——每张胶片记录一次改动，所有胶片叠加后，你看到的是完整画面；而联合文件系统（如 overlay2）就是让这些胶片能“合起来看、分开存”的技术机制。
分层存储：镜像是怎么一层一层搭起来的
Docker 镜像不是一整块打包的文件，而是由多个只读层（read-only layers）堆叠而成。每一层对应 Dockerfile 中的一条指令（比如 FROM、RUN、COPY），代表一次文件系统变更：
- 基础层：来自 FROM 指令，通常是 alpine、debian 或 scratch 等精简 OS 镜像
- 中间层：每条 RUN、COPY、ADD 指令都会生成新层，比如安装软件、复制代码、修改配置
- 内容寻址：每层用 SHA256 哈希值唯一标识，相同内容的层在本地只存一份，多个镜像可共享
联合文件系统：多层怎么“合成一个根目录”
OverlayFS（Docker 默认使用的联合文件系统）通过三个关键目录协同工作：
- lowerdir：一个或多个只读镜像层，按顺序堆叠
- upperdir：容器运行时的可写层，所有新增/修改/删除都发生在这里
- merged：对外暴露的统一视图，即你进入容器看到的 / 目录
读写行为遵循固定规则：读文件时从 upperdir 开始找，找不到就往下层查；写文件时先用“写时复制”（Copy-on-Write）把原文件复制到 upperdir 再修改；删文件则在 upperdir 创建 whiteout 文件标记隐藏。
为什么这样设计？核心好处在哪
分层 + 联合挂载不是为了炫技，而是解决实际问题：
- 节省空间：10 个基于 alpine:latest 的镜像，底层基础层只存 1 份
- 加速构建：Docker build 会缓存未变化的层，跳过重复执行（前提是前面所有层都没变）
- 快速启动：容器启动不复制镜像，只加一层可写层，秒级就绪
- 安全隔离：各容器共用底层，但写操作互不影响，上层完全独立
怎么验证分层结构
用几条命令就能直观看到分层效果：
-
docker image inspect nginx:latest | jq '.RootFS.Layers'—— 查看所有层哈希 -
docker history nginx:latest—— 显示每层对应的指令和大小 -
docker system df -v—— 查看镜像、层、容器各自占用的磁盘空间
