📚 课程目录第2章镜像缓存基础

2、镜像缓存基础：Docker/OCI 镜像分层结构、Layer 与 Blob 概念、Registry 与 Cache 的关系

要理解容器镜像缓存命中率为何偏低，首先必须掌握镜像的底层存储模型。Docker 与 OCI（Open Container Initiative）标准定义了镜像由一组只读层（Layer）堆叠而成，每一层对应一个文件系统变更集。这种分层结构是缓存复用的理论基石，也是缓存碎片化的根源。

一个完整的容器镜像由多个 Layer 按顺序叠加组成，最底层称为 Base Layer（通常为操作系统基础文件系统，如 alpine、ubuntu），往上依次是应用依赖、配置文件、二进制文件等。每个 Layer 只记录与上一层的差异（diff）。

  关键概念： 镜像层是只读的，容器运行时在顶层叠加一个可写层（Container Layer），所有写入操作发生在该层，不影响下层镜像。

在 OCI 镜像规范中，每个 Layer 在 Registry 中存储为一个 Blob（Binary Large Object）。Blob 通过其内容哈希值（Digest）进行寻址，格式通常为 sha256:<64位十六进制字符串>。这种内容寻址机制保证了：

实践要点： 镜像缓存命中的本质是判断本地是否已存在指定 Digest 的 Blob。如果 Layer 内容未变但 Digest 改变（例如重新打包导致元数据差异），缓存将失效。

Registry 是镜像 Blob 的持久化存储仓库，而 Cache 是位于 Registry 与容器运行时之间的加速层。两者关系可以用下表概括：

维度	Registry（仓库）	Cache（缓存）
主要职责	持久存储所有镜像 Blob，提供拉取/推送 API	临时存储高频访问的 Blob，减少回源请求
数据生命周期	长期保留，除非显式删除	基于 LRU/TTL 或手动预热，可能被淘汰
寻址方式	通过 Digest 或 Tag 定位	通过 Digest 索引，通常保持与 Registry 一致的寻址逻辑
网络位置	通常位于远端数据中心或云服务	可部署在本地节点、边缘或代理层（如 Envoy）
缓存未命中影响	—	回源 Registry 拉取，增加延迟与带宽消耗

在实际部署中，Cache 层通常以 Pull-through Proxy 或 分布式缓存集群 的形式存在。Envoy 可以在数据面拦截镜像拉取请求，将 Blob 请求路由到最近的缓存节点，从而降低回源压力。

基于上述分层与 Blob 模型，缓存命中率主要受以下因素制约：

Layer 复用度： 如果多个镜像共享相同的基础层（如 alpine:3.18），这些层在缓存中只需存储一次，命中率自然高。反之，每个镜像使用不同的基础层会导致缓存碎片。
Layer 大小与变更频率： 频繁变更的上层（如应用代码层）容易导致缓存失效，而稳定的底层（OS 层）更容易命中。
Cache 容量与淘汰策略： 缓存空间有限，LRU 策略可能淘汰掉仍有价值的 Blob，导致后续请求回源。
网络分区与地域分布： 跨地域拉取时，若 Cache 未做地域亲和性部署，回源延迟会显著增加。

常见误区： 不要认为 Tag 相同就代表 Layer 相同。Tag 是可变的指针，指向的 Manifest 可能已更新，导致实际引用的 Blob 集合发生变化。缓存应始终基于 Digest 而非 Tag 进行判断。

理解镜像分层与 Blob 寻址是优化缓存命中率的前提。后续章节将深入分析 Envoy 如何在数据面拦截 Blob 请求、实现智能缓存路由，以及如何通过预热与亲和性调度提升命中率。下表总结了本节核心概念与缓存策略的对应关系：