完全缓存的相同Docker构建出现镜像层哈希不一致原因

这个现象是BuildKit的哈希计算逻辑导致的，不存在实际镜像层内容偏差，具体触发逻辑如下：

• BuildKit计算内部构建步骤哈希时，不会只校验Dockerfile的文本内容，所有隐式输入都会被纳入哈希计算范围：包括Dockerfile文件本身的文件系统元数据（mtime修改时间、权限位、uid/gid归属、inode信息）、构建上下文的元数据、上游步骤的哈希值。你两次构建使用的是不同git checkout生成的Dockerfile副本，哪怕文件内容字节级完全一致，这些文件系统元数据都是重新生成的，直接导致日志中[internal] load build definition from Dockerfile步骤的计算哈希出现差异。
• 后续步骤的哈希偏移是链式传导导致的：BuildKit每一个构建步骤的哈希计算，都会将上一个相邻步骤的输出哈希作为必填输入参数。只要上游任意一个内部步骤的哈希出现变化，哪怕后续RUN、COPY步骤的执行命令、挂载文件、环境变量、依赖的基础镜像完全没有变化，从第一个变更点下游的所有步骤计算出的本地哈希都会连锁偏移，这就是你看到apt安装步骤开始所有后续步骤哈希都不匹配的直接原因。
• 哈希偏移不影响远程缓存命中，也不会导致实际镜像层内容变化：BuildKit匹配远程缓存时，不会直接使用本地实时计算的步骤哈希做唯一匹配依据，而是会对比远程缓存清单中记录的步骤执行逻辑、输入参数、最终层内容校验和，只要这些核心项一致就会命中缓存、跳过实际构建步骤。你两次构建拉取的远程缓存清单哈希完全一致，最终生成的镜像实际rootfs层校验和是完全相同的，本地日志中显示的步骤哈希只是构建过程中的中间计算值，不是最终推送到镜像仓库的镜像层哈希。

你可以通过docker inspect <镜像名:tag>查看两次构建产物的RootFS字段下的层校验和列表，会发现两次的层校验和完全一致，不存在实际内容偏差。你使用的COPY --link参数不会改变这个哈希传导逻辑，该类COPY步骤的哈希计算同样会继承上游步骤的哈希种子，因此也会同步出现计算值偏移。

内容的提问来源于stack exchange，提问作者Lisanna