dockerfile 每条指令（如 from、run、copy、add 及 env 等元数据指令）在构建时均生成独立只读镜像层，基于内容哈希复用；comment、onbuild、expose 等不产生新层。
每条 dockerfile 指令在构建过程中都会触发一次文件系统变更，docker 将该变更打包为一个独立的只读镜像层。这个过程不是简单地“切一刀”，而是由构建引擎（如 buildkit 或 legacy builder）在执行指令时，对当前文件系统状态做快照，并将差异内容（diff）持久化为一层。
哪些指令会生成新层
以下指令每次执行都会创建一个新层：
- FROM：引入基础镜像，作为第一层（也是最底层）
- RUN：运行命令并提交结果（如安装软件、编译代码）
- COPY：将本地文件或目录复制进镜像
- ADD：类似 COPY，但支持解压和远程 URL（也生成一层）
- ENV、ARG、WORKDIR、USER 等元数据类指令——现代构建器（BuildKit 默认开启）也会为其生成轻量层，用于记录变更；旧版 builder 可能不显式分层，但语义上仍视为独立变更点
为什么是“只读”且“独立”
每一层都基于联合文件系统（如 OverlayFS）保存为一个压缩的 tar 差分包，只包含相对于下一层的新增、修改或删除文件。它不依赖上层内容，也不影响下层——因此可被多个镜像安全复用。比如两个不同应用都用 FROM alpine:3.18 和 RUN apk add curl，它们共享前两层，第三层才开始分化。
层不是按行号，而是按内容哈希决定是否复用
Docker 构建时会对每层计算内容哈希（如 SHA256）。只要某条指令的输入完全一致（包括上下文、基础镜像版本、命令字符串、所复制文件的二进制内容），就直接复用已存在的层，跳过执行。例如：
- 改了
COPY app.py /app/中的文件内容 → 对应层哈希变 → 重建该层及所有后续层 - 只改了
CMD→ 最后一层变 → 其他层全缓存 - 把
RUN pip install flask拆成两行RUN pip install --no-cache-dir flask→ 命令字符串不同 → 触发新层（即使效果一样）
不生成新层的常见情况
某些操作不会产生镜像层，只影响构建过程或最终镜像元数据：
- COMMENT（# 注释）：纯文本，无文件系统变更
- ONBUILD：仅注册触发逻辑，不立即执行
- STOPSIGNAL、HEALTHCHECK、EXPOSE：写入镜像配置（config.json），不改动文件系统
- ENTRYPOINT 和 CMD：设置默认启动参数，属于镜像元数据，不单独成层（但旧版中 CMD 有时会隐式触发空层，BuildKit 下已优化）
