必须校验Header.Size：目录等非普通文件需显式设Size=0，否则可能panic；镜像layer中Typeflag影响解析语义，须用tar.TypeSymlink等常量而非硬编码，且每个layer需独立tar.NewReader实例。
tar.Writer.WriteHeader 写入前必须校验 Header.Size
容器镜像的 layer tar 包里常含空目录、符号链接或设备文件，tar.WriteHeader 会依据 Header.Size 决定是否调用 Write 写入后续数据。若对目录项未显式设 Header.Size = 0，默认值为 0，但某些 Go 版本（如 1.19 前）在 FileInfo 源自 os.Stat 时可能带非零 Size()，导致 tar.Writer 期待后续 Write 调用却没发生，最终 panic：archive/tar: write too few bytes。
- 对目录、字符/块设备、FIFO 等非普通文件，手动置
hdr.Size = 0 - 用
tar.FileInfoHeader(fi, name)后立即修正：if fi.IsDir() { hdr.Size = 0 } - 不要依赖
fi.Size()直接赋值——os.FileInfo.Size()对目录返回 0 是 POSIX 行为，但不是 Go 的保证
读取镜像 layer tar 流时别用 tar.NewReader 直接套 io.Reader
容器 registry 返回的 layer 是 gzip 压缩的 tar 流，常见错误是链式调用 gzip.NewReader(r); tar.NewReader(gzr)，但 tar.NewReader 不会自动跳过末尾的 zero-padding 或 trailer block，而镜像层 tar 往往在末尾补了两个 512 字节的全零块（POSIX 标准要求）。这会导致 Next() 在读完最后一个文件后返回 io.EOF，但实际底层 io.Reader 还剩 1024 字节没消费——下次从同一 reader 继续读（比如解析多个 layer）就会出错。
- 用
tar.NewReader后，显式循环调用Next()直到返回io.EOF，再手动丢弃剩余字节（如果确定后面无数据） - 更稳妥做法：用
io.MultiReader(tarReader, io.Discard)包装，或解析完后检查tarReader.Current()是否为 nil 并确认底层 reader 已耗尽 - 注意
gzip.Reader的Close()不影响底层 reader，别误以为 close 了就清空了缓冲
tar.Header.Typeflag 决定解析路径和权限的语义
镜像 layer 中的 Typeflag 不只是类型标识，它直接影响 filepath.Clean 行为和权限还原逻辑。例如 Typeflag = '5'（即 tar.TypeDir）时，Name 字段末尾斜杠会被保留，而 Typeflag = '0'（常规文件）则不会；若误把软链接当成普通文件（Typeflag 错设为 '0' 而非 '2'），tar.Writer 会忽略 Linkname 字段，导致解包时丢失链接目标。
- 写入时：用
tar.TypeSymlink、tar.TypeChar等常量，别硬编码字符 - 读取时：根据
hdr.Typeflag分支处理hdr.Linkname、hdr.Devmajor/hdr.Devminor，而非统一忽略 - 特别注意
tar.TypeXGlobalHeader（x）—— OCI 镜像中可能出现，表示 pax 扩展头，需用tar.Reader.Next()跳过，否则后续Next()会错位
多 layer 解包时 tar.Reader 的状态不可复用
同一个 tar.Reader 实例不能反复用于多个 layer 数据流。它的内部缓冲区和偏移状态是粘性的，即使你重置底层 io.Reader（比如 seek 回 0），tar.Reader 自身的 buffer 和 last header 缓存仍残留旧状态，下一次 Next() 可能直接返回错误或跳过首文件。
立即学习“go语言免费学习笔记（深入）”；
- 每个 layer 对应独立的
tar.NewReader实例 - 不要在循环中复用
tar.Reader变量——哪怕显式赋新值，也要确保旧实例被 GC，且不共享底层 reader - 如果底层是
*bytes.Reader或可 seek 的*os.File，务必在创建新tar.Reader前重置位置：br.Reset(data)或f.Seek(0, 0)
Size 该不该为 0，一个全零块该不该被跳过，Typeflag 的一个字节差会让软链接变成空文件。这些点不报错，但解出来的镜像就跑不起来。 
