深入理解Docker镜像：原理、构建与最佳实践

1. 什么是镜像

容器（Container）主要解决了应用在开发、测试和部署各个环节的“一致性”问题，让应用可以在不同环境下以几乎相同的方式运行。与之相对应，Docker 镜像（Image） 解决的是应用部署环境问题。镜像可以理解为一个只读的容器模板，其内包含了应用程序以及启动容器所需的根文件系统（rootfs）和配置文件。
当我们运行镜像时，Docker 会在镜像的只读层之上添加一个可写层，从而形成容器，类似“类”与“对象”的关系。

---

2. Docker 镜像原理

2.1 分层

Docker 镜像采用分层（Layered）方式构建。每个镜像由一组只读层（Layer）组成，这些层可以被不同镜像复用，从而有效地减少存储和传输的冗余。例如：如果多个镜像都基于同一个基础镜像层，则系统只需要存储这层一次，拉取镜像时也无需重复下载。

2.2 写时复制（Copy-On-Write）

为了最大化地利用只读层，Docker 采用了写时复制技术：当容器需要修改某个只读层上的文件时，该文件会被复制到容器的可写层，然后进行修改。容器中未发生变化的文件仍然指向只读层，避免了不必要的存储开销。

2.3 联合挂载（Union Mount）

Docker 使用联合文件系统（Union FS），可以将多层镜像合并挂载到一个统一的目录结构中。具体来说：

• LowerDir：镜像的只读层（可以有多层）。
• UpperDir：容器运行时新加的可写层。
• Merged：将 LowerDir 和 UpperDir 合并后的文件系统视图，容器内看到的就是 Merged 目录下的内容。
  

2.4 内容寻址（Content Addressable Storage）

Docker 在管理镜像层时，会根据每层内容来计算唯一的哈希值（如 SHA256），并以该哈希值作为该层的标识和索引，这种方式称为内容寻址。它可以：

1. 在拉取或保存镜像时检测数据完整性，提高安全性。
2. 对于内容相同的层，无论构建来源是否相同，都只需存储或传输一次。

---

3. Docker 镜像关键概念

3.1 registry（注册中心）

registry 是用来保存 Docker 镜像的服务端应用。常见的公共 registry 有官方的 Docker Hub、阿里云镜像服务等，我们也可以搭建私有 registry，在企业或团队内部使用。

3.2 repository（仓库）

repository（仓库）是 Docker 镜像在 registry 中的组织形式，可理解为“项目”或“镜像名”。同一仓库可能包含多个不同版本的镜像，使用 tag 来区分。

3.3 manifest（元数据文件）

manifest 文件描述了镜像的架构、包含的层、配置信息等。当执行 docker pull、docker push、docker save、docker load 等操作时，manifest 文件会作为镜像元数据进行存储、传输并最终转换成本地可识别的镜像配置。

3.4 image（镜像）

image 即 Docker 镜像。它的核心是包含多个只读层和一个镜像配置文件，通常通过 REPOSITORY:TAG 或镜像 ID 来引用。镜像还包括了容器运行所需的默认配置信息（如环境变量、暴露端口、工作目录等）。

3.5 layer（镜像层）

镜像中的各个只读层称为 layer。从基础镜像开始，一直到 Dockerfile 中的每条指令（如 RUN、COPY、ADD）都会产出新的层。这些层可被多个镜像和容器共享。

3.6 dockerfile（镜像制作文件）

Dockerfile 是一个文本文件，用于定义镜像构建过程。每条 Dockerfile 指令都对应镜像构建时的一步操作，执行完成后会形成新的只读层。通过 Dockerfile，可以保证镜像的可重复构建和版本管理。

---

4. 镜像管理命令

4.1 docker build

功能：基于 Dockerfile 构建镜像。

docker build [OPTIONS] PATH | URL | -

• 常用选项：
  • -t, --tag：指定构建完成后镜像的名称和标签。
  • -f, --file：指定 Dockerfile 文件的路径。
  • --no-cache：不使用缓存构建镜像。
  • --build-arg <key>=<value>：在构建时传递构建参数。
  • --rm：构建完成后自动删除中间容器，默认开启。

示例：

docker build -t my_app:1.0 -f ./Dockerfile .