Docker镜像分层技术由只读层叠加构成，每层记录与下层差异，共享相同基础层以节省空间；运行时添加可写层，通过Copy-on-Write和联合挂载（如OverlayFS）提供统一文件系统视图。
Docker镜像分层技术是理解容器存储原理的核心切入点。它不是抽象概念，而是直接决定容器启动速度、磁盘占用、构建效率和数据隔离方式的实际机制。
镜像由只读层叠加构成
每个Docker镜像本质上是一组有序的只读文件系统层（Layer），按FROM指令自底向上堆叠。基础层通常是操作系统镜像（如alpine:3.15或ubuntu:22.04），上层依次添加依赖、配置、代码等。每一层只记录与下一层的差异，不重复存储相同内容。
- 使用docker history
可清晰看到每层对应的Dockerfile指令及大小 - 相同基础镜像的多个应用镜像会共享底层，节省磁盘空间
- 层ID是内容哈希值（SHA256），相同内容必得相同ID，天然支持跨镜像复用
容器运行时增加一个可写层
当执行docker run时，Docker在所有只读镜像层之上，动态挂载一个全新的读写层（UpperDir）。这个层不属于镜像，仅属于该容器实例。
- 所有文件新增、修改、删除操作都发生在这一层
- 修改已有文件时触发“写时复制”（Copy-on-Write）：先将原始文件从下层复制到该层，再编辑，原层文件保持不变
- 删除文件时，仅在该层标记隐藏，下层文件仍存在（不可见但未被清除）
联合挂载形成统一视图
Docker使用OverlayFS（主流）等联合文件系统，将只读层（LowerDir）和可写层（UpperDir）合并挂载到Merged目录，对外呈现为单一完整根文件系统（rootfs）。
- 容器内访问/etc/nginx/nginx.conf时，系统优先查找UpperDir；若不存在，则逐层向下搜索至最底层
- 这种透明叠加让容器“感觉”自己拥有完整文件系统，实则按需组合
-
docker inspect
中的GraphDriver字段可查看实际挂载路径和各层位置
验证与调试分层行为的方法
通过命令行工具可实时观察分层效果，无需进入源码：
- 构建两个相似镜像（如一个加RUN touch a.txt，另一个加RUN touch a.txt && touch b.txt），用docker history对比层数差异
- 启动容器后修改配置文件，再执行ls -l /var/lib/docker/overlay2/
/diff/ ，可见变更已落在此层 - 停止容器后，其读写层依然存在；删除容器（不带-v）则该层自动清理；镜像层不受影响
