Docker两镜像共享相同镜像哈希却摘要不同？如何发生？

问题背景 #

调试Python 3.10与GitLab CI/CD相关问题时，发现Python 3.10.12新版本镜像将底层操作系统从Debian 11升级到Debian 12，执行docker images --digests后出现以下结果：

$ docker images --digests
python   <none> sha256:1435f1edde19dbe479b0ea9d358bff26726ddd391c8b6fe587624d84a68da31e   23e11cf6844c   7 days ago      1GB
python   <none> sha256:a8462db480ec3a74499a297b1f8e074944283407b7a417f22f20d8e2e1619782   23e11cf6844c   7 days ago      1GB

核心原因解析 #

要理解这个现象，得先明确Docker中两个关键哈希的区别：

• 镜像ID（23e11cf6844c）：仅基于镜像的配置元数据生成，包括环境变量、启动命令（CMD/ENTRYPOINT）、工作目录等，完全不涉及镜像的文件系统层内容。只要配置元数据一致，不同镜像会复用同一个镜像ID。
• 摘要（sha256:...）：基于镜像的完整Manifest文件生成，包含配置元数据哈希+所有文件系统层的哈希总和，是镜像完整内容的唯一标识。

这次出现相同镜像ID、不同摘要的情况，本质是：

• 新版Python镜像升级Debian底层后，配置元数据（比如Python版本、启动命令等）没有变化，所以复用了旧镜像的配置层哈希（即镜像ID）；
• 但底层文件系统层（Debian系统文件）已经完全更新，导致整个Manifest的哈希（摘要）发生改变。

是否违背摘要设计初衷？ #

完全不违背。摘要的核心设计目标就是唯一标识镜像的全部内容（配置+文件系统），而镜像ID只是为了复用相同配置而设计的轻量化标识。这种情况恰恰体现了两者的分工：镜像ID减少重复配置的存储开销，摘要确保你拉取的镜像内容完全符合预期，不会因为配置相同就混淆不同的底层内容。

内容的提问来源于stack exchange，提问作者Otheus