Docker镜像分层通过只读共享层与可写隔离层的协同实现统一：底层用内容哈希标识只读层（如基础系统、中间指令层）供多镜像/容器复用，顶层动态添加容器专属可写层，运行时修改经写时复制（CoW）机制隔离，删除容器即清除该层，保障一致性与高效性。
docker 镜像分层技术通过“只读共享 + 可写隔离”的结构，天然实现了隔离性与共享性的统一，而不是非此即彼的取舍。关键不在于牺牲一方来成全另一方，而在于让不同层级各司其职：底层专注复用，上层保障独立。
只读层负责高效共享
所有镜像层默认为只读，由内容哈希（如 SHA256）唯一标识。相同内容的层在本地仅存一份，多个镜像或容器可同时引用。
- 基础系统层（如 ubuntu:20.04 或 alpine:3.18）被数十个应用镜像共用，磁盘不重复存储
- 中间层（如 RUN apk add curl、COPY config.yaml）只要内容未变，构建时直接复用缓存
- 拉取镜像时，Docker 守护进程逐层比对本地哈希，仅下载缺失层，支持断点续传和并行传输
可写层保障运行时隔离
容器启动时，Docker 在镜像最顶层动态添加一个空的可写层（Container Layer），所有运行时变更都发生在此层。
- 文件修改走 写时复制（Copy-on-Write, CoW）：仅当容器首次写入某文件时，才将该文件从只读层复制到可写层再操作
- 每个容器独占自己的可写层，删除容器即清空该层，不影响镜像和其他容器
- 日志、临时文件、上传数据等运行态内容天然隔离，无需额外配置
分层顺序直接影响平衡效果
层的堆叠顺序决定了哪些内容易被复用、哪些必然隔离。Dockerfile 指令顺序不是随意的，而是缓存策略的执行路径。
- 把稳定、低频变更的内容（基础镜像、依赖安装）放在前面，提升缓存命中率
- 把高频变更内容（源码、配置文件）放在后面，避免牵连上游层重建
- 用 .dockerignore 过滤掉 .git、node_modules 等无关文件，防止 COPY 引入不可控差异
多阶段构建强化职责分离
单个镜像内划分构建阶段与运行阶段，进一步解耦共享逻辑与隔离边界。
- 构建阶段包含编译工具链、测试依赖等——体积大、不共享给生产环境
- 运行阶段只 COPY 编译产物，基于极简基础镜像（如 scratch 或 alpine）——轻量、安全、便于跨镜像复用
- 最终镜像不含构建工具，既缩小体积，又减少攻击面，还提升层复用概率
