Docker镜像层是否为运行时执行指令？底层构成存疑

问题描述 #

我正试图深入理解Docker镜像。Dockerfile中的大多数指令都会创建一个镜像层。例如执行以下指令：

COPY hom* /mydir/

该指令会生成一个镜像层，根据官方文档说明：

COPY指令从复制新文件或目录，并将它们添加到容器文件系统的路径下。

但文档中提到的是“容器”而非“镜像”，这是否意味着镜像层本身包含文件和指令，在Docker运行容器时，该层会在运行时执行对应指令？我对镜像层的底层构成存在困惑。

核心解答 #

Dockerfile里的COPY指令在镜像构建阶段就完成了文件复制操作，生成的镜像层是静态的文件差异快照，而非需要在容器运行时执行的指令。文档中提到“容器文件系统”，是指该指令最终会为基于镜像启动的容器提供对应的文件，而非复制动作发生在容器运行阶段。

镜像层的底层本质 #

• 镜像是由多个只读的叠加层组成的，每个层本质是一组文件的变更集合：
  • 当执行COPY hom* /mydir/时，Docker会在当前已有的镜像层之上创建一个新层，这个层包含了从构建上下文复制到/mydir/路径下的所有文件，是完全静态的，构建完成后就固定下来。
  • 类似RUN apt-get install这类指令，也是在构建阶段执行命令，将命令产生的文件变更（比如安装的软件包）保存为新的镜像层，同样是静态的文件快照。
• 只有CMD、ENTRYPOINT这类指令会记录容器运行时的启动配置，不会生成文件层；而COPY、ADD、RUN这类修改文件系统的指令，全部是在构建阶段完成操作，结果固化到镜像层中。

文档提及“容器”的原因 #

镜像本身是一个只读的模板，无法直接运行。当你用docker run启动容器时，Docker会在所有镜像层的顶部添加一个可写的容器层，同时将所有镜像层的文件挂载为容器的根文件系统。因此文档描述COPY的效果是“添加到容器文件系统的路径下”，指的是容器启动后能看到的最终文件状态，而非复制操作发生在运行时。

你可以通过一个简单的验证方法确认：构建镜像后，使用docker save命令将镜像导出为tar包并解压，能直接找到COPY进去的文件，这说明这些文件已经存在于镜像层中，不需要运行容器就已存在。

内容的提问来源于stack exchange，提问作者Jim