用 SharpCompress 解压 Docker 镜像 tar 层最稳，因其自动识别流类型、支持白out（.wh.）文件跳过、流式读取防内存溢出，并妥善处理 Linux 路径与符号链接的 Windows 兼容性问题。
用 SharpCompress 解压 Docker 镜像 tar 层最稳
Docker 镜像的 layer 是标准 tar 文件（非 tar.gz，即使后缀是 .tar.gz，实际内容也常是未压缩的 tar 流），C# 原生 System.IO.Compression.TarArchive 从 .NET 6 才开始支持，且只读、不支持解析硬链接/白out 文件（.wh. 开头）这些 Docker 特有语义。直接上 SharpCompress 是最快落地的选择。
常见错误现象：InvalidDataException 或解压后文件缺失，往往是因为用了 GZipStream 强行套在 tar 上——Docker 的 layer tar 多数是纯 tar，gzip 是外层封装，不是 tar 内部压缩。
- 安装
SharpCompress：NuGet 包SharpCompress（注意不是SharpCompress.Core） - 用
ReaderFactory.Open()自动识别流类型（支持 tar、gz、xz、zst 等） - 遍历
ArchiveEntry时检查IsDirectory和IsSymbolicLink，跳过.wh.文件（它们表示“删除”语义） - 提取路径前务必调用
entry.Key（不是entry.FilePath），它已做路径规范化和安全校验
怎么识别并跳过 Docker 白out 文件（.wh.）
Docker 分层叠加时，下层文件被上层“删除”，实际是写入一个名为 .wh. 的空文件。若不解析这个，还原出的文件系统会多出本该消失的文件。
使用场景：构建镜像差分分析、本地模拟容器文件系统、安全扫描提取真实文件集。
-
entry.Key包含完整路径，用Path.GetFileName(entry.Key)判断是否以.wh.开头 - 白out 文件本身不提取，但要记录它“废掉”了哪个路径（例如
.wh.abc.txt→ 废掉abc.txt） - 注意大小写：Docker 在 Linux 下区分大小写，
.WH.不合法，只认小写.wh. - 白out 可作用于目录（
.wh.dir/），此时整个目录应被忽略，后续同名目录下的 entry 全部跳过
TarArchive 流式读取避免内存爆炸
Docker layer tar 动辄几百 MB，全加载进 MemoryStream 再解压，容易触发 OutOfMemoryException，尤其在容器或低内存环境。
性能影响：流式处理可将峰值内存控制在几 MB 内，但需自己管理提取逻辑，不能依赖 ExtractAll() 一键完事。
- 用
FileStream或HttpClient.GetStreamAsync()直接传给ReaderFactory.Open() - 逐个调用
reader.Entry+reader.MoveToNextEntry()，不要一次性ToList() - 提取单个文件时，用
entry.OpenEntryStream()获取流，再用File.Create()写出，别中转内存 - 遇到大文件（如
/usr/bin/java）可加entry.Size > 100 * 1024 * 1024判断做日志或跳过
Windows 路径兼容性问题必须手动处理
Docker 镜像层里的路径是 Linux 风格（/etc/passwd），直接在 Windows 上 File.Create() 会报 ArgumentException（非法字符或根路径）。这不是编码问题，是路径分隔符和驱动器逻辑冲突。
容易踩的坑：用 Path.Combine() 拼接 "C:layers" 和 "/etc/passwd"，结果变成 C:layersetcpasswd —— 看似能写，但丢失了原始路径语义，且无法还原 symlink 目标。
- 统一用
Path.Replace('/', '\')替换分隔符，再用Path.IsPathRooted()判断是否为绝对路径 - Linux 绝对路径（如
/bin/sh）应映射到工作目录子路径，例如outputDir + @"insh" - symlink 的
entry.LinkTarget同样是 Linux 路径，也要做相同替换，否则CreateSymbolicLink会失败 - 保留原始权限位（
entry.Mode）没意义（Windows 不支持），但可记录到元数据文件供审计
真正麻烦的是 overlay2 白out 的嵌套逻辑和 hardlink 复用判断——这些得结合 json 配置里的 diff_ids 和 layer.tar 内的 sha256sum 对齐，光靠单个 tar 文件没法完全还原镜像语义。
