Docker镜像分层存储的核心优势是节省空间、加速构建、提升传输效率及支持审计追溯：基础层和中间层可被多镜像共享，仅存储一份；构建时复用未变层，拉取时只下载缺失层；每层有唯一哈希，支持历史查看、漏洞定位与版本回滚。
Docker 镜像的分层存储不是为了“看起来高级”，而是解决实际工程问题的一套精巧设计。它的优势直接体现在构建、传输、存储和复用四个关键环节上。
节省磁盘空间：基础层被多个镜像共享
同一台宿主机上，几十个基于 ubuntu:22.04 的镜像，底层操作系统文件只存一份。中间层如安装 Python 或 Nginx 的 RUN 指令生成的层，只要内容一致，也自动复用。实测中，10 个微服务镜像共用基础系统层后，总磁盘占用比全量复制减少约 65%。
- 基础镜像（如 alpine、debian、scratch）是“公共资源”
- 不同项目只要用相同 base 和相同依赖安装命令，就能命中缓存层
- docker images -a 可看到重复的 IMAGE ID，对应的就是共享层
加速镜像构建：只重建变更层，其余直接复用
修改应用代码后重新构建，Docker 会从上往下逐层比对指令。一旦某层缓存失效（比如 COPY ./src .），它之后的所有层都会重新执行；而之前未变的层（如系统更新、依赖安装）直接跳过。
- COPY 放在 RUN 安装依赖之后，能更好利用缓存
- 多阶段构建中，编译环境层和运行环境层分离，避免把构建工具打进最终镜像
- docker build --no-cache 强制跳过缓存，适合调试但不推荐日常使用
提升拉取效率：网络传输只下载缺失的层
镜像上传/下载时，Docker Registry 会按层校验 SHA256 摘要。如果某层本地已有，就跳过；只传新增或变更的层。配合 CDN 和 Registry 的分发优化，实测拉取时间可缩短 80% 以上。
- 团队内部私有 Registry（如 Harbor）能显著提升跨节点部署速度
- 标签（tag）不影响层结构，v1.2.0 和 latest 若基于相同构建过程，底层完全一致
- 删除无用镜像时，docker image prune -a 会智能清理未被任何镜像引用的层
支持版本追溯与安全审计
每一层都有唯一内容哈希（如 sha256:abc123...），通过 docker history 镜像名，能清晰看到每一步指令、创建时间、层大小，甚至还原出该层对应的 Dockerfile 行。
- 安全扫描工具（如 Trivy）可定位到具体哪一层引入了漏洞包
- 回滚镜像版本，本质是切换到旧的层组合，无需重新打包
- CI/CD 流水线可将每层哈希写入制品清单，实现不可篡改的交付溯源
