关键不是只看tar包本身，而是验证能否正确加载及各层是否未被篡改：需结合传输层校验（如sha256sum比对）、镜像层校验（diffID一致性）、manifest与layer数量核对，并可用docker load --quiet快速探活。
导出镜像后校验文件完整性，关键不是只看 tar 包本身，而是验证它能否被正确加载、各层内容是否未被篡改。核心方法分两类：传输层校验（确保文件没传丢）和镜像层校验（确保内容没被破坏）。
传输前/后用哈希值比对原始文件
这是最常用、最直接的手段，适用于所有场景：
- 导出时立即生成校验值：
docker save -o app.tar myapp:v1 && sha256sum app.tar > app.tar.sha256 - 传输到目标机器后，重新计算并比对：
sha256sum -c app.tar.sha256（返回 OK 表示一致） - 若原始镜像有发布方提供的哈希（如 CI 流水线存档），必须严格匹配该值，不能仅依赖本地重算
导入前用 docker load 配合 --quiet 快速探活
不真正加载，只做轻量解析，能快速暴露 EOF、损坏或格式错误：
- 执行：
docker load -i app.tar --quiet 2>&1 | head -n 5 - 如果报 unexpected EOF 或 invalid tar header，说明文件不完整或已损坏，无需继续
- 成功时会输出类似 Loaded image: myapp:v1，表示归档结构基本完好
导入后校验镜像层内容真实性（离线深度校验）
适用于高安全要求场景，比如合规审计或生产镜像二次确认：
- 先加载镜像：
docker load -i app.tar - 提取 config 中各层的 diffID（真实内容指纹）：
docker image inspect myapp:v1 --format='{{json .RootFS.DiffIDs}}' - 进入本地存储路径，对对应 layer 的 diff/ 目录重新打包哈希：
tar -c -f - /var/lib/docker/image/overlay2/layerdb/sha256/<chainID>/diff/ | sha256sum - 结果应与上一步 diffID 完全一致；不一致说明该层在磁盘中已被修改或损坏
检查 manifest 和 layer 数量一致性
避免“空层”或“漏层”问题，尤其在多镜像打包或手动拼接 tar 时容易出错：
- 解压 tar 查看顶层结构：
tar -tf app.tar | head -20（应含 manifest.json、version 和多个 <layer-hash>.tar） - 读取 manifest 确认 layer 数量：
tar -xO app.tar manifest.json 2>/dev/null | jq '.[0].Layers | length' - 再统计 tar 中实际 layer 文件数：
tar -tf app.tar | grep '\.tar$' | grep -v '^[a-f0-9]\{64\}\.tar$' | wc -l（排除非 layer 的 tar） - 两个数字必须相等，否则说明归档不完整
