相同Dockerfile与构建上下文，RUN命令生成的镜像层摘要为何不同？

你遇到的问题是：两次用docker buildx build构建同一个极简Dockerfile，间隔仅几秒，但最后一层的哈希摘要却不一样。这个现象在Mac Intel（Docker Engine 24.06）和Ubuntu 20.04（Docker 24.0.7）上都能复现，而且你已经加了--no-cache参数排除缓存影响。

问题根源 #

问题出在BuildKit对空层的哈希计算逻辑上：

• 你的RUN sh -c "echo hello"只是往标准输出打印内容，根本没修改容器里的文件系统，所以这一层是个空层。
• BuildKit计算空层的哈希时，除了文件系统的变化（这里完全没有），还会把构建过程中的元数据也算进去——比如构建会话的唯一ID、命令执行的时间戳，甚至你传入的BUILDKIT_STEP_LOG=1参数会让BuildKit记录带时间戳的日志，这些可变的信息直接导致了两次构建的空层哈希不一样。

解决办法 #

1. 移除BUILDKIT_STEP_LOG=1参数 #

这个参数会让BuildKit额外记录构建步骤的日志，日志里的时间戳之类的可变内容会干扰哈希计算。直接去掉它再构建：

docker buildx build --progress plain --no-cache --tag ca-test:1 . 
docker buildx build --progress plain --no-cache --tag ca-test:2 .  

2. 避免生成空层 #

如果你的RUN命令本来就不需要修改文件系统，要么把它合并到其他有实际文件操作的命令里，要么直接删掉。比如：

FROM python:3.10-slim-bullseye 
# 把echo和实际的安装命令合并，避免生成空层
RUN echo hello && apt-get update && apt-get install -y curl

3. 让BuildKit忽略可变元数据（进阶） #

通过环境变量BUILDKIT_METADATA_EXCLUDE=timestamp，让BuildKit计算哈希时排除时间戳这类可变元数据：

BUILDKIT_METADATA_EXCLUDE=timestamp docker buildx build --progress plain --no-cache --tag ca-test:1 . 
BUILDKIT_METADATA_EXCLUDE=timestamp docker buildx build --progress plain --no-cache --tag ca-test:2 .  

注意：这个是BuildKit的高级特性，不同版本的支持情况可能有差异。

内容的提问来源于stack exchange，提问作者Roy2012