📚 课程目录第2章容器镜像基础回顾

2. 容器镜像基础：Docker镜像分层原理、镜像仓库（Registry）概念、镜像标签（Tag）的语义化规范

2.1 Docker镜像分层原理

Docker镜像并非一个单一的大文件，而是由一系列只读层（Layer）堆叠而成的联合文件系统。每一层代表Dockerfile中的一条指令，层与层之间通过写时复制（Copy-on-Write, CoW）策略实现高效存储与分发。

  核心优势：分层机制使得多个镜像可以共享相同的底层基础层（如Ubuntu、Alpine），大幅减少磁盘占用与网络传输量。例如，基于同一基础镜像构建的Nginx与Redis镜像，只需在本地存储一份基础层。

2.2 镜像仓库（Registry）概念

镜像仓库是存储、分发和管理容器镜像的中心化或分布式服务。它扮演着“镜像中央仓库”的角色，是CI/CD流水线中构建产物与部署环境之间的关键桥梁。

仓库类型	典型产品	适用场景	关键特性
公共仓库	Docker Hub, GitHub Container Registry	开源项目、基础镜像拉取、社区共享	全球CDN加速、自动构建、公开访问
私有仓库	Harbor, Nexus, AWS ECR, Azure ACR	企业内网、敏感业务镜像、合规要求	RBAC权限、镜像扫描、复制策略、Garbage Collection
本地仓库	Registry v2 (官方), Docker Registry	开发测试环境、边缘节点、离线部署	轻量级、单节点部署、支持缓存代理

架构要点：Registry采用RESTful API与客户端交互，支持分块上传（Chunked Upload）和层缓存（Layer Caching）。在CI/CD流水线中，建议在构建节点与Registry之间配置镜像缓存代理（如Harbor的Proxy Cache），以加速拉取公共基础镜像。

2.3 镜像标签（Tag）的语义化规范

镜像标签是版本控制的“门牌号”。一个混乱的Tag命名体系会导致部署混乱、回滚困难。推荐采用语义化版本（SemVer）结合构建元数据的规范。

2.3.1 标准语义化版本格式

<主版本号>.<次版本号>.<修订号>[-<预发布标识>][+<构建元数据>]

示例：
  v1.2.3
  v2.0.0-rc.1
  v1.5.0+build.20231027.123456

字段	含义	变更场景	示例
主版本号	不兼容的API或重大架构变更	数据库表结构重构、接口协议升级	v2.0.0 → v3.0.0
次版本号	向下兼容的功能新增	新增API端点、增加配置项	v2.1.0 → v2.2.0
修订号	向下兼容的问题修复	Bug修复、安全补丁、性能优化	v2.1.3 → v2.1.4
预发布标识	alpha, beta, rc（候选发布）	内部测试、灰度验证	v2.0.0-rc.1
构建元数据	Git Commit SHA、构建时间戳	CI/CD自动注入，用于精确追溯	+sha.abc1234

2.3.2 企业级Tag命名策略

在发布流水线中，建议同时维护不可变标签和可变标签，以满足不同场景需求。

不可变标签（Immutable Tag）：每个构建生成唯一标签，如 v1.2.3+build.20231027.123456 或 sha-abc1234def5678。用于精确回滚和审计追溯。
可变标签（Mutable Tag）：指向最新稳定版本，如 latest、stable、v1。用于开发环境和快速部署，但禁止在生产环境使用。
环境标签：如 prod、staging、canary，用于标识当前部署的版本。

⚠️ 生产环境铁律：生产环境部署必须使用不可变标签。禁止使用 latest 或 v1 等可变标签，否则回滚时将无法确定具体版本，导致“回滚到未知状态”的灾难性后果。

2.3.3 流水线中的Tag自动生成示例

以下是一个在CI流水线中自动生成语义化Tag的Shell脚本片段：

#!/bin/bash
# 从Git标签获取版本号，若不存在则生成快照版本
GIT_TAG=$(git describe --tags --exact-match 2>/dev/null || echo "snapshot")
BUILD_TIME=$(date +%Y%m%d.%H%M%S)
GIT_SHA=$(git rev-parse --short HEAD)

if [ "$GIT_TAG" != "snapshot" ]; then
  # 正式发布版本
  IMAGE_TAG="${GIT_TAG}+build.${BUILD_TIME}.sha.${GIT_SHA}"
else
  # 开发快照版本
  IMAGE_TAG="snapshot-${BUILD_TIME}-sha-${GIT_SHA}"
fi

echo "IMAGE_TAG=${IMAGE_TAG}"

2.4 分层与Tag在回滚中的协同

理解分层原理和Tag规范后，可以设计出高效的回滚策略：

层复用加速回滚：回滚到旧版本时，由于分层机制，大部分基础层已在节点缓存，只需拉取差异层，回滚速度可提升50%-80%。
Tag追溯确保回滚精度：通过不可变Tag中的构建元数据（如Git SHA），可以精确找到历史版本的Dockerfile和源码，避免“回滚错版本”。
Registry保留策略：设置合理的镜像保留策略（如保留最近30天或最近100个版本），确保回滚目标版本未被Garbage Collection清理。

  最佳实践：在Harbor或ECR中启用Tag不可变（Immutable Tag）功能，防止已发布的Tag被覆盖。同时配置自动清理策略，保留最近N个版本的镜像层，平衡存储成本与回滚能力。