直接看 docker history 就能确定基础镜像——最底层非<missing>的 FROM 行即为实际运行时依赖的基础镜像，如 ubuntu:22.04 或 alpine:3.18；多阶段构建中前面的 FROM（如 golang:1.21 AS builder）属构建阶段，不影响最终依赖；可用 docker inspect --format='{{.Parent}}' 验证父子关系，空输出表示顶层镜像（如 scratch）。
直接看 docker history 就能知道哪个镜像引用了基础镜像——它把每一层的来源清清楚楚列出来，最底层那一行就是实际被引用的基础镜像。
用 docker history 确认基础镜像来源
执行 docker history 镜像名:标签，输出中从下往上数，第一行（即最底层）的 FROM 指令对应的就是该镜像所依赖的基础镜像。如果某层显示 <missing>，说明它是构建中间产物（比如多阶段构建中的 builder 阶段），不用管；真正运行时依赖的底座，是历史列表里最上面那个非 <missing> 的 FROM 行。
- 例如看到
FROM ubuntu:22.04在最底层 → 这个镜像基于 Ubuntu 22.04 - 若出现
FROM golang:1.21 AS builder，但后面还有FROM alpine:3.18→ 实际运行依赖的是 Alpine 3.18 - 如果整列都是
<missing>，且最顶层是空的FROM，那它很可能基于scratch（无父镜像）
用 docker inspect 查 Parent 字段验证继承关系
docker inspect 能直接读取镜像元数据里的父子关系。运行：
docker image inspect --format='{{.Parent}}' 镜像名:标签
结果有三种可能：
- 输出为空 → 该镜像是顶层镜像，不继承任何其他镜像（如
scratch或手动构建的 rootfs） - 输出一串长 ID → 这个 ID 对应的就是它的直接父镜像，可再用
docker image inspect --format='{{.RepoTags}}' ID查它叫什么名字 - 输出
sha256:xxx...形式的 digest → 表示父镜像未打标签，但仍是明确的镜像实体
结合分层内容判断“谁在用”这个基础镜像
一个基础镜像（如 debian:12）可能被多个自定义镜像引用。要查“哪些镜像用了它”，不能只看单个镜像，而要反向扫描本地所有镜像：
- 先列出所有本地镜像 ID：
docker images -q - 对每个 ID 执行：
docker image inspect --format='{{.Parent}} {{.RepoTags}}' ID 2>/dev/null - 筛选出
.Parent匹配目标基础镜像 ID 的那些行，就能看到哪些镜像以它为底座
注意：.Parent 是直接父级，不是祖源。如果想追溯完整链路（比如 A ← B ← C ← debian:12），需要递归 inspect，或用工具如 dive 可视化展开。
补充：别忽略多阶段构建带来的干扰
很多镜像 Dockerfile 写了多个 FROM，但只有最后一个 FROM 才决定运行时基础。前面的只是编译环境，不会出现在最终镜像的 history 底层或 Parent 字段里。所以：
- 不要只扫 Dockerfile，要以实际镜像为准
- 运行时依赖 ≠ 构建时依赖，二者必须分开看
- 用
docker run --rm 镜像名 cat /etc/os-release也能辅助验证实际操作系统环境
