MongoDB Docker镜像首层ADD文件含义、溯源及内容分析方法咨询

首层文件的本质 #

你看到的ADD file:93883f863ccd9e401e4f945206887f251075a63d25a8129c9bd73e707397f109 in /是Docker镜像最底层的标准构建指令，对应的文件是MongoDB镜像依赖的基础Linux发行版（通常为Debian slim版本）的最小根文件系统压缩包，后面的长串字符是该文件的SHA256校验值。Docker执行该指令时会直接把压缩包完整解压到镜像的根目录，构成镜像最基础的操作系统运行环境。

来源与内容分析方法 #

• 确认基础镜像来源
  执行docker inspect <你所用的MongoDB镜像名:标签>，在返回结果的Config字段中找到BaseImage配置项，就能看到该MongoDB镜像依赖的上游基础镜像，首层文件就是该基础镜像的根文件系统包。
• 提取文件内容
  先执行docker save <MongoDB镜像名:标签> -o mongo_image.tar将镜像导出为本地压缩包，解压该tar包后，找到哈希值前缀匹配93883f86的层目录，目录内的layer.tar就是你要找的首层文件，直接解压该tar包即可查看完整的根文件系统内容，包括系统命令、基础配置文件、运行库等所有底层文件。
• 校验文件合法性
  对提取到的layer.tar执行sha256sum命令，将返回的哈希值和构建指令中的哈希值做比对，确认文件未被篡改。也可以拉取对应版本的官方基础镜像，导出后对比首层文件哈希值，确认来源为官方发布的基础镜像。

内容的提问来源于stack exchange，提问作者Denis Steif