镜像只存变化，容器修改先复制

先分清两件事

分层只存变化

镜像的文件层一旦生成就保持只读。上一页的镜像与容器关系，在这里细化成了“共享的只读层 + 各自的可写层”。

Dockerfile 是描述如何构建镜像的文本文件。本页只用它辨认变化来源；具体语法留给下一课。

“每条指令一层”是便于入门的说法。更准确地说：改变文件系统的构建步骤产生文件层；历史中的一行不一定对应一个文件层。 图 1 中的 CMD 没有新增文件。

把层栈和终端对上

历史倒着读

docker history 是 docker image history 的别名。默认从最新记录往最旧记录显示，正好对应图 1 从上往下读。

下面原样节选官方文档的输出：只保留表头和 COPY 那一行，其余行省略。镜像必须先存在于本地才能运行此命令；这不是本页实验生成的镜像。

• CREATED BY：这次记录来自什么构建操作。
• SIZE：该步文件差异的大小；这里 COPY 对应图中的 222B，不是整个镜像大小。
• IMAGE：历史关联的镜像 ID。<missing> 常见于使用 BuildKit 构建的记录，表示没有可显示的中间镜像 ID，不能据此判断层丢失。BuildKit 是 Docker 的构建后端。
• CREATED 与 COMMENT：生成时间与附加说明，不是层的编号。

遇到截断的命令，用 docker history --no-trunc 镜像名。需要和层栈核对时先看来源，再看大小，最后辨认哪些只是配置记录。

容器改变自己的视图

修改先复制

写时复制（copy-on-write，CoW）让容器先共享只读文件，首次修改时才为自己保存变化。下面按 OverlayFS（Linux 上合并显示多层目录的文件系统）的文件级复制过程示意：先复制文件，再改副本；镜像原件保持不变。

新建文件直接写入本容器的可写层。再次修改已经复制上来的文件，继续改这个副本。这里讨论的是容器自身的文件系统；卷和绑定挂载是另一条存储路径，后面的存储模块再讲。

从一个镜像扩展另一个

底层可共享

多个镜像可以引用同一组底层。图 1 的官方示例中，基础镜像含基础文件与 bash；应用镜像在它上面追加 COPY 和改权限的层，两个镜像仍共用前两层。

共享发生在内容相同、层链可复用的情况下。同一镜像存储中，无需为每个引用者再复制一份相同底层。 两个镜像的显示大小相加，会把共享部分重复计算。

这也不等于“两个容器共同修改一个目录”。镜像层只读；每个容器仍在自己的可写层记录变化。

在自己的 Docker 上验证

亲手验证

先回顾第一次 docker run。下面会创建一个临时工作目录、拉取 Alpine 并构建两个本地镜像。--rm 在容器退出后删除容器及其可写层；--network none 禁用实验容器的外部网络。命令不挂载宿主目录、不发布端口、不修改宿主网络配置。

1. 做一个含 /note 的镜像

在宿主机的 Linux shell 中执行。FROM 选起点；RUN 写入文件；CMD 设置默认读取命令。-t 给镜像起本地名字；末尾 . 是包含 Dockerfile 的当前构建目录。

lab_dir=$(mktemp -d -t docker-layers-12.XXXXXX)
cd "$lab_dir"
cat > Dockerfile <<'DOCKERFILE'
FROM alpine:3.22
RUN printf 'base\n' > /note
CMD ["cat", "/note"]
DOCKERFILE
docker build -t learning-image-layers:base .
docker history --no-trunc learning-image-layers:base

预期：history 顶部有 CMD 配置记录，再往下有写入 /note 的 RUN。具体文本、时间、大小和基础镜像层数以你的平台为准。alpine:3.22 是标签，内容可能更新；在后续实验中都使用刚构建出的本地镜像。

2. 修改 A，再新建 B

先预测第二个容器会输出什么，再执行。镜像的 CMD 会读 /note；第一条命令额外指定 sh -c，让 shell 执行引号内的修改和读取。

docker run --rm --network none learning-image-layers:base \
  sh -c 'printf "changed\n" > /note; cat /note'
docker run --rm --network none learning-image-layers:base

预期输出，未实测：第一条打印 changed，第二条打印 base，各占一行。A 的修改没有进入镜像；B 使用镜像的原件。这个结果验证视图隔离，不能单凭输出测出存储后端的物理复制粒度。

3. 删除也只影响本容器

docker run --rm --network none learning-image-layers:base \
  sh -c 'rm /note; if [ ! -e /note ]; then printf "hidden\n"; fi'
docker run --rm --network none learning-image-layers:base

预期输出，未实测：依次打印 hidden 和 base。删除发生在第一个容器自己的视图里；第二个容器仍能读取镜像中的文件。

4. 扩展镜像，比较底层

下面用 base 作为起点，再增加 /extra。-f 选择另一份 Dockerfile。inspect 读取对象信息，--format 只输出指定字段；这里把根文件系统的层列表以 JSON 数组显示出来。

cat > Dockerfile.child <<'DOCKERFILE'
FROM learning-image-layers:base
RUN printf 'extra\n' > /extra
DOCKERFILE
docker build -f Dockerfile.child -t learning-image-layers:child .
docker image inspect --format '{{json .RootFS.Layers}}' learning-image-layers:base
docker image inspect --format '{{json .RootFS.Layers}}' learning-image-layers:child
docker history --no-trunc learning-image-layers:child

预期结构，未实测：child 的层数组以 base 的完整数组开头，并多出写入 /extra 的一层。这些 sha256:… 值是文件系统变化内容的标识，不是 history 的 IMAGE 列；相同前缀说明它们引用相同的底层链。这里不预填哈希值或大小。

实验结束后

下面只删除本实验的两个镜像标签与临时目录中的两份 Dockerfile。先回到原工作目录；若你在实验目录添加了其他文件，rmdir 会保留该目录并报非空。

docker image rm learning-image-layers:child learning-image-layers:base
rm -- Dockerfile Dockerfile.child
cd -
rmdir -- "$lab_dir"

拉取的 Alpine 镜像和构建缓存可能仍保留。本实验不执行全局清理。

• 一条 history 记录，不一定是一个文件系统层。
• 图自下而上构建，history 默认自上而下显示最新记录。
• 修改先保存自己的副本；删除只隐藏本容器视图中的路径。
• 镜像可共享只读底层，容器的可写层各自独立。