使用Bazel构建的OCI镜像运行Docker时提示可执行文件不存在

可能的原因 #

• 动态链接库路径冲突：@noble//qbittorrent-nox包携带的动态链接库（如libc系列库）会覆盖或干扰系统默认的链接库路径。当该包排在包列表后方时，其构建层会修改镜像内的LD_LIBRARY_PATH环境变量，或替换/usr/lib、/lib下的关键系统库，导致bash等系统工具无法加载正确的依赖文件——这类"no such file or directory"错误不一定是文件不存在，也可能是依赖库找不到。
• 镜像层覆盖关键系统文件：Bazel构建镜像时，后续层会覆盖前序层的文件。如果@noble//qbittorrent-nox包向系统关键目录（如/usr/bin、/usr/lib）写入了与系统默认文件冲突的内容，会破坏原有系统工具的运行环境。
• 权限或文件属性异常：该包可能修改了系统文件的执行权限或扩展属性，导致bash等工具无法被内核执行，即使文件实体存在。

调试方法 #

• 检查动态链接依赖：
  若镜像能运行基础命令，执行：

  docker run --rm -it local/foo:latest ldd /usr/bin/bash
  

  若无法运行命令，可导出镜像文件系统后用主机的ldd工具检查bash的依赖库是否存在、路径是否正确，重点关注是否有not found的库项。
• 查看环境变量配置：
  执行以下命令检查镜像内的环境变量，确认LD_LIBRARY_PATH等与动态链接相关的变量是否被异常修改：

  docker run --rm local/foo:latest env
  

• 对比镜像文件系统差异：
  分别构建包含和不包含@noble//qbittorrent-nox的镜像，用docker save导出后解压，对比两个镜像的文件系统，重点排查/usr/lib、/lib、/etc/ld.so.conf等路径下的文件差异，定位该包新增或修改的内容。
• 查看镜像构建层历史：
  执行以下命令查看镜像的构建层详情，分析@noble//qbittorrent-nox对应的层做了哪些文件修改：

  docker history local/foo:latest --no-trunc
  

• 手动验证包的影响：
  在正常运行的镜像基础上，手动复制@noble//qbittorrent-nox包的文件到对应路径，再尝试运行bash，验证是否会复现问题，确认是否是该包直接导致的冲突。

内容的提问来源于stack exchange，提问作者Victor