LeonNo11的博客

所以，最上面这个可读写层的作用，就是专门用来存放你修改rootfs后产生的增量，无论是增、删、改，都发生在这里。比如，你要删除只读层里一个名叫foo的文件，那么这个删除操作实际上是在可读写层创建了一个名叫.wh.foo的文件。可以看到，它们的挂载方式都是只读的（ro+wh，即readonly+whiteout，至于什么是whiteout，我下面马上会讲到）。由于rootfs里打包的不只是应用，而是整个操作系统的文件和目录，也就意味着，应用以及它运行所需要的所有依赖，都被封装在了一起。

网桥是计算机网络的基本构建块之一，尽管它在现代网络设备（如交换机）中被广泛取代，但它的原理依然是二层网络通信的基础。在虚拟化和容器化环境中，网桥技术仍然被广泛应用，是网络学习的重要一环。通过理论学习和实践操作（如配置虚拟网桥），可以更好地掌握网桥的原理和应用。

掌握这些核心概念和操作，将为你在 Kubernetes 中管理复杂的应用和服务打下坚实的基础。

2、docker run rm -it -u root XXX sh，通过临时容器的方式启动，可以调试中间层文件。调试容器，主要是指的调试Dockerfile，调试Dockerfile中的各个命令的执行，大小等。3、docker build -t imageName .，通过这个命令来构建镜像；1、docker history查看构建过程和所有的中间层。

容器内非root运行业务，要对目录和文件chown，增加镜像大小。构建镜像时，使用COPY --chown，使用 buildkit 或docker v17.x及以上版本。由于PaaS使用docker v1.12.6，使用高于v1.12.6的docker版本，构建镜像有可能出现不兼容的问题。使用COPY --chown 修改属主，不要使用RUN chown。WORKDIR usr/src/app，会切换到这个目录。dive工具，用来优化镜像大小。