2. 容器镜像基础：镜像分层原理、仓库架构与拉取流程

容器镜像是云原生应用的交付单元，理解其底层分层机制、仓库拓扑与拉取链路，是后续冷启动优化与缓存策略的前提。本节从 UnionFS/OverlayFS 分层原理出发，逐步拆解镜像仓库架构与完整拉取流程。

2.1 镜像分层原理：UnionFS 与 OverlayFS

容器镜像由多个只读层（Layer）堆叠而成，每一层代表 Dockerfile 中的一条指令。这种分层结构依赖联合文件系统（UnionFS）实现，OverlayFS 是当前最主流的实现方案。

OverlayFS 将底层只读层称为 lowerdir，容器可写层称为 upperdir，合并后的视图称为 merged。文件查找顺序：upperdir → lowerdir（从高到低）。当删除 lowerdir 中的文件时，upperdir 会创建一个 whiteout 文件（字符设备 0/0）来屏蔽底层文件。

2.2 镜像仓库架构

镜像仓库（Registry）是镜像的存储与分发中心。典型架构包含 Registry Server、存储后端、认证授权 与 缓存加速 四部分。

镜像仓库的核心数据模型分为两层：

• Manifest（清单）：描述镜像的元数据，包含层列表、配置、架构信息。支持 Docker V2 Manifest 与 OCI Image Manifest。
• Blob（二进制大对象）：每个镜像层对应一个 Blob，通过 SHA256 摘要寻址，内容不可变。

2.3 镜像拉取流程详解

当执行 docker pull registry.example.com/myapp:v1.0 时，背后经历以下完整流程：

1. 解析镜像引用：客户端解析镜像名称，提取 registry 地址、仓库名、标签（或摘要）。
2. 认证握手：客户端向 Registry 发起 GET /v2/ 请求，若需认证，Registry 返回 401 并携带 WWW-Authenticate 头，客户端向认证服务获取 。
3. 获取 Manifest：客户端使用 请求 GET /v2/<name>/manifests/<tag>，Registry 返回 Manifest JSON，包含层列表（Layer SHA256）与配置。
4. 解析层列表：客户端遍历 Manifest 中的 layers 数组，获取每个 Blob 的 digest（SHA256）与 size。
5. 并行拉取 Blob：客户端并发发起 GET /v2/<name>/blobs/<digest> 请求，Registry 从存储后端读取 Blob 数据流式返回。
6. 层验证与解压：客户端对每个接收到的 Blob 计算 SHA256，与 Manifest 中的 digest 比对；验证通过后解压（gzip）为文件系统层。
7. 挂载 OverlayFS：容器运行时（containerd）将所有层按顺序挂载为 OverlayFS lowerdir，创建可写 upperdir，最终呈现 merged 视图。

以下是一个典型的 Manifest 结构示例：

{
  "schemaVersion": 2,
  "mediaType": "application/vnd.docker.distribution.manifest.v2+json",
  "config": {
    "mediaType": "application/vnd.docker.container.image.v1+json",
    "size": 7023,
    "digest": "sha256:bbef0b5b..."
  },
  "layers": [
    {
      "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
      "size": 28112345,
      "digest": "sha256:6d7e4f2a..."
    },
    {
      "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
      "size": 5123456,
      "digest": "sha256:9a8b7c6d..."
    }
  ]
}