镜像是静态只读模板，由SHA256哈希标识的分层构成；容器是其动态实例，叠加可写层；镜像分层与联合文件系统（如overlay2）实现多容器共享底层数据；数据卷（Volume）专用于跨容器持久化共享，独立于UnionFS，支持实时访问与独立生命周期管理。
docker 中镜像与容器是两个不同层级的概念：镜像是静态的、只读的模板，由多个分层（layer）构成，每层通过 sha256 内容哈希唯一标识；容器则是镜像在运行时的动态实例，它在镜像最上层叠加一个轻量可写层（upperdir），所有运行时修改都记录在此层，而底层只读层完全共享。
镜像分层机制支撑高效复用
多个容器基于同一镜像启动时，并不复制整个文件系统。Docker 使用联合文件系统（如 overlay2），将镜像各只读层（如基础 OS、依赖库、应用代码）以内容寻址方式加载一次，所有容器共用这些物理数据块。执行 docker images --digests 可看到各层 digest，相同 digest 即表示本地只存一份数据。哪怕启动 100 个容器，操作系统层、Python 运行时层、甚至某次 RUN pip install flask 生成的层，只要哈希一致，就自动复用。
容器间数据共享靠数据卷（Volume）实现
镜像层和容器可写层都不适合跨容器共享数据——前者只读，后者生命周期绑定容器。真正用于共享的是独立于 UnionFS 的 数据卷：
在 Linux 上通过 Docker 运行 OpenClaw，并使用 Tailscale 实现远程访问。⚠️ 涉及 sudo、Docker、Tailscale和凭证挂载——请先查阅安全章节...
- 数据卷是宿主机上的真实目录（默认位于 /var/lib/docker/volumes/），绕过联合文件系统，直接读写磁盘
- 多个容器可通过 -v myvol:/data 挂载同一个命名卷，任何一方写入，另一方立即可见
- 删除容器不影响数据卷，卷可单独管理：docker volume create myvol、docker volume ls、docker volume rm
共享方式选择取决于场景
若需持久化且多容器实时协同（如 Web + Redis + 日志分析器共用配置或上传目录），优先用命名卷；若只是临时拷贝少量文件（如从容器 A 导出日志再导入容器 B），可用 docker cp 命令，但它不提供实时性，也不解决生命周期问题；绑定挂载（Bind Mount）适合开发调试，把宿主机路径映射进容器，但生产环境需注意权限与路径依赖风险。
不复杂但容易忽略：镜像负责“环境一致性”，容器负责“运行隔离”，而数据卷才是专为“跨容器共享”设计的基础设施。
