Docker内容寻址层与SHA256摘要疑问：镜像拉取重叠层问题

1. 为何公共层的Diff ID看起来无重叠？ #

你混淆了Docker中两种不同的层哈希标识：

• docker inspect返回的RootFS.Layers是Diff ID，它是层解压后内容的SHA256哈希，用于标识层的实际文件系统差异。
• 拉取日志中显示的是Blob Hash，它是镜像manifest中记录的、层压缩后文件的SHA256哈希，是Registry存储层的唯一标识。

两个镜像共享的是相同Blob Hash对应的层，但如果Diff ID看起来无重叠，可能是两种情况：

• 你对比的两个镜像RootFS.Layers是完整文件系统层链，共享的基础层被上层修改覆盖，导致你误判为无重叠（实际基础层Diff ID一致，可仔细核对）；
• 镜像构建时用了不同压缩方式打包层，导致同一未压缩层（Diff ID相同）对应不同Blob Hash，但这种情况极少出现，Docker仍会通过Diff ID识别内容相同并复用。

2. Docker如何识别层已存在？ #

拉取镜像时的核心逻辑：

1. 先向Registry请求镜像的manifest文件，获取每个层的完整Blob Hash；
2. 检查本地存储中是否已存在该Blob Hash对应的层文件；
3. 若本地已有，直接跳过拉取并显示Already exists；若没有，则下载层并验证Blob Hash的正确性。

此外，Docker还会通过Diff ID做二次校验：即使Blob Hash不同，只要本地有相同Diff ID的层，就会复用该层，避免重复存储相同内容。

3. 拉取日志的12位字符串与SHA256的匹配关系 #

拉取日志里的12位字符串是Blob Hash完整SHA256值的前12位。由于SHA256碰撞概率极低，前12位已足够在本地和Registry中唯一标识一个层，因此Docker用短格式简化日志输出。

你可以用以下命令查看镜像完整的Blob Hash，对比验证：

docker manifest inspect repo/image:tag | jq '.layers[].digest'

输出的sha256:xxxxxx格式内容中，xxxxxx就是完整Blob Hash，其前12位会和拉取日志中的字符串完全匹配。

内容的提问来源于stack exchange，提问作者3cheesewheel