Image 分層的秘密：疊透明片與寫時複製

你一定看過這個畫面：

$ docker pull nginx
Using default tag: latest
latest: Pulling from library/nginx
a2abf6c4d29d: Pull complete
a9edb18cadd1: Pull complete
589b7251471a: Pull complete
186b1aaa4aa6: Pull complete
b4df32aa5a72: Pull complete
a0bcbecc962e: Pull complete
Digest: sha256:0d17b565c37b...
Status: Downloaded newer image for nginx:latest

六條進度條、六個奇怪的 ID。映像不是一個檔案，它是好幾個「層（layer）」組成的。

再看一個更有意思的現象

接著你 pull 另一個也是基於 Debian 的映像：

$ docker pull redis
a2abf6c4d29d: Already exists      ← 這層跳過了！
7c3f1b4c9e88: Pull complete
...

Already exists——因為 nginx 和 redis 都建立在同一個 Debian 基底上，那一層你已經有了，不用再下載，而且兩個映像共用同一份。

接下來三張卡，把「層」到底是什麼、怎麼疊起來、怎麼被修改，一路拆到底。

定義

層是怎麼產生的？Dockerfile 的每個指令一層

FROM eclipse-temurin:17-jre     ← 基底（本身也是好幾層）
RUN apt-get install -y curl     ← 第 N 層：多了 curl 相關檔案
COPY app.jar /app/app.jar       ← 第 N+1 層：多了一個 app.jar
CMD ["java", "-jar", "/app/app.jar"]  ← 只是設定，不佔實體層

• 第 N 層裡面不是整個作業系統，只有「安裝 curl 這件事新增/改動的那些檔案」。
• 第 N+1 層裡面只有 app.jar 這一個檔案。

關鍵性質：層是不可變的（immutable）

層一旦建立就永遠不會被修改，因為它的身分證（雜湊值）是用內容算出來的——改內容就變成另一層了。這帶來兩個重要推論：

• 可安全共用：既然沒人能改它，A 映像和 B 映像共用同一層就完全安全。
• 可驗證：拉下來的層算一次雜湊就知道有沒有被竄改或損毀。

層各自獨立存在磁碟上，但容器裡的程式需要看到一個正常、完整的檔案系統。負責把它們疊起來的技術叫做聯合檔案系統（Union File System），Docker 現在預設用的實作是 Linux 核心內建的 OverlayFS。

OverlayFS 的四個角色

• lowerdir（下層）：唯讀的那些層，可以有很多個，由下往上疊。← 就是映像的各層
• upperdir（上層）：唯一可寫的那一層。← 容器啟動時新增的
• workdir：內部運作用的暫存區。
• merged（合併後的視圖）：疊完的成果，這才是容器裡看到的 /。

疊起來的規則（只有兩條）

1. 上層覆蓋下層：同一個路徑的檔案，如果上下層都有，看到的是最上層那個版本。（就像疊透明片，上面畫的蓋住下面的）
2. 各層互補：某路徑只有某一層有，那就直接看得到它。

容器看到的 /  （merged）
  ↑ 疊合
[可寫層]      /app/config.yml（改過的版本）← 蓋住下面那個
[映像層 3]    /app/app.jar
[映像層 2]    /usr/bin/curl
[映像層 1]    /bin, /etc, /usr, /lib …（Debian 基底）

實際看一眼

在 Linux 宿主機上執行 mount | grep overlay，會看到類似這樣的東西（有簡化）：

overlay on /var/lib/docker/overlay2/abc.../merged type overlay
  (lowerdir=/var/lib/docker/overlay2/l/A:/var/lib/docker/overlay2/l/B,
   upperdir=/var/lib/docker/overlay2/abc.../diff,
   workdir=/var/lib/docker/overlay2/abc.../work)

沒有魔法，就是一個掛載參數。容器的檔案系統，是宿主機上一個 overlay 掛載點而已。

問題來了：映像的層是唯讀的，但容器裡的程式明明可以寫檔案。怎麼辦到的？

答案：容器啟動時，在最上面加一層薄薄的「可寫層」

這層一開始是空的。之後所有的寫入都發生在這裡，下面的映像層永遠不動。

三種操作的處理方式

1. 讀取一個檔案：從上往下找，找到第一個就用。不複製任何東西，直接讀映像層的原檔。
2. 修改一個檔案（重點！）：
   • 檔案在下面的唯讀層，不能直接改。
   • 於是 OverlayFS 先把整個檔案複製到可寫層，再讓你改那份複本。這個動作就叫 Copy-on-Write（寫時複製，CoW）——不寫就不複製，寫了才複製。
   • 之後讀這個路徑，因為上層覆蓋下層，你讀到的就是改過的複本。
3. 刪除一個檔案：下層的檔案刪不掉，於是在可寫層放一個特殊的標記檔（whiteout），意思是「這個路徑當作不存在」。查找時遇到 whiteout 就停下來回報找不到。下層那個檔案其實還好端端地躺在那裡。

由 CoW 直接推導出的四個現象（全部串起來了）

• 為什麼容器啟動只要幾毫秒？因為完全不複製映像內容，只是加一個空的可寫層再做一次 overlay 掛載。
• 為什麼同一個映像可以開 50 個容器不佔 50 倍空間？50 個容器共用同一份唯讀層，各自只有自己那層薄薄的可寫層。
• 為什麼容器刪掉，裡面寫的資料就沒了？因為資料全在可寫層，而可寫層是屬於這個容器的——容器被 docker rm 掉，可寫層跟著刪除。映像層完全沒動過，所以重新開一個容器就是全新的乾淨狀態。（要保住資料，就要用 volume 把資料寫到容器外面，見 ch06。）
• 為什麼資料庫容器不該把資料放在可寫層？CoW 有效能代價：第一次修改一個 10 GB 的資料檔，得先把整個檔案複製上來。資料庫這種頻繁隨機寫入的工作負載，走 overlay 可寫層又慢又浪費空間。所以你 compose 檔裡那行 mssql-data:/var/opt/mssql 不只是為了保存資料，也是為了效能。

現在可以精確定義這兩個天天在用、卻常被混為一談的詞了。

三個類比，挑一個記住

• 程式設計：Image 是 class，Container 是 object（實例）。一個 class 可以 new 出無數個 object，各自有自己的狀態。
• 音樂：Image 是母帶（不會變），Container 是正在播放的那一次（有播放進度、有音量，播完就沒了）。
• 烹飪：Image 是食譜＋所有備好的食材，Container 是正在爐上煮的那一鍋。

由此推出的實務判斷

• 「我改了容器裡的東西，怎麼重建後不見了？」→ 你改的是 object 的狀態，不是 class 的定義。要永久生效請改 Dockerfile（ch08）。
• 「同一個映像的兩個容器會互相影響嗎？」→ 不會。它們共用唯讀層，但各有各的可寫層，寫入互不可見。
• 「刪映像前要先刪容器」→ 因為容器還引用著那些層。這就是 image is being used by running container 錯誤的來源。
• docker commit 是什麼？→ 把容器目前的可寫層固化成一個新的映像層。可以用，但不建議——這等於用「手動改物件狀態」的方式產生 class，別人完全不知道你做了什麼。正道是寫進 Dockerfile。

回到前面埋的問題。假設有人寫了這樣的 Dockerfile：

FROM eclipse-temurin:17-jre
COPY secrets.env /tmp/secrets.env      ← 第 3 層：含資料庫密碼
RUN ./setup.sh && rm /tmp/secrets.env  ← 第 4 層：用完就刪掉，安全了吧？
COPY app.jar /app/app.jar

直覺上：檔案刪了，映像裡就沒有了。大錯特錯。

為什麼還在？

• 層是不可變的、而且每一層都保留在映像裡。第 3 層裡確實有 secrets.env，這件事已成定局。
• 第 4 層的 rm 只是加了一個 whiteout 標記：「這個路徑當作不存在」。它是遮住，不是抹除。
• 任何人拿到這個映像，都可以把層一層層拆開來看——docker save 匯出成 tar 檔解開，或用 docker history、dive 這類工具，第 3 層裡的密碼原封不動。

正確作法（ch10 會完整展開）

• 秘密絕不寫進映像。密碼、token、金鑰在執行時用環境變數或 secret 機制注入，不在建置時放進去。
• 建置階段真的需要秘密（例如私有套件庫的認證）→ 用 BuildKit 的 secret mount（RUN --mount=type=secret），它掛載進去但不會留在任何一層。
• 或用多階段建置（ch10）：需要秘密的動作在建置階段做完，最終映像只從那階段複製出乾淨的成品。
• .dockerignore 擋掉 .env、.git、金鑰檔，避免 COPY . . 時整包送進去（.git 裡藏著歷史上所有曾經 commit 過的秘密）。