Docker镜像元数据文件实际存于/var/lib/docker/image/<驱动>/imagedb/和/var/lib/docker/image/<驱动>/distribution/中，但为SQLite数据库与protobuf编码的二进制格式，并非可直接读取的JSON；推荐通过docker image inspect或docker save导出标准JSON文件解析。
docker镜像元数据文件在哪？
它不在容器里，也不在 /var/lib/docker 的运行时目录下直接可读——Docker 镜像的元数据（如 manifest、config、layer digest）实际以内容寻址方式存于 /var/lib/docker/image/<storage-driver>/distribution/</storage-driver> 和 /var/lib/docker/image/<storage-driver>/imagedb/</storage-driver> 中，且是二进制 blob 或 JSON 文件，但**未经解压和校验不能直接当普通 JSON 读取**。
更现实的路径是：从 Docker daemon API 或 docker image inspect 输出中获取，而非手动解析底层文件。强行读取底层文件风险高，易因 storage driver（overlay2/zfs/btrfs）、版本升级、rootless 模式导致路径/格式变化。
用 C++ 调用 docker CLI 解析 inspect 输出
这是最稳定、跨环境兼容的做法：启动子进程执行 docker image inspect <image>，捕获 JSON 输出并解析。C++ 本身不内置 JSON 支持，需依赖轻量库（如 nlohmann/json）。
- 确保目标机器已安装 Docker CLI 且当前用户有权限执行（通常需在
docker用户组） - 命令需加
-f '{{json .}}'避免模板渲染干扰，例如：docker image inspect -f '{{json .}}' ubuntu:22.04 - 用
popen()或std::process（C++26 前需自行封装）读取 stdout；注意检查pclose()返回值判断命令是否成功 - 原始输出是单行 JSON，
nlohmann::json::parse()可直接处理；关键字段如Id、RepoTags、Config.Env、RootFS.Layers都在顶层对象内
绕过 CLI 直接读 docker save 导出包
如果你控制镜像来源，更可控的方式是先用 docker save -o archive.tar ubuntu:22.04，再用 C++ 解压 tar 并读取其中的 manifest.json 和 repositories 文件——这些是标准 JSON，无签名/校验逻辑，适合离线解析。
立即学习“C++免费学习笔记（深入）”；
-
manifest.json是数组，每个元素含Config（指向 config 文件名）、RepoTags、Layers（layer tar 路径列表） -
Config文件（如abc123...json）包含完整配置：Env、Cmd、ExposedPorts等，是真正意义上的“镜像元数据” - 别硬编码 tar 解析逻辑；用
libarchive（C 接口友好）比手写更安全，尤其要跳过 GNU tar 的扩展 header - 注意：
docker save不包含 layer 内容，只含元数据和 layer 的 tar 归档路径，无需解压 layer 即可读 config
为什么不要直接 fopen /var/lib/docker/... 下的文件？
因为那些文件不是为外部读取设计的：
-
imagedb/content/sha256/xxx是 SQLite 数据库存储，不是纯 JSON；直接读会得到乱码或损坏数据 -
distribution/descriptors/sha256/xxx是 protobuf 编码的 descriptor（v2 schema），非文本 - overlay2 下的
diff/目录是 layer 内容快照，不含元数据；layers/下的l文件是符号链接，指向实际 merge 目录，与镜像定义无关 - rootless Docker 默认用
$XDG_DATA_HOME/docker，路径完全不可预测
真正需要元数据时，始终优先走 API 或导出流程；底层存储结构是 Docker 实现细节，随时可能变更。
