Shell脚本如何比较容器与镜像差异

wen 实用脚本 2026-07-16 2

Shell脚本如何比较容器与镜像差异？实战指南与常见问题解析

目录导读

核心概念：容器与镜像的本质区别
为何需要比较容器与镜像差异？
Shell脚本比较差异的6种方法
- 方法1：使用docker diff命令
- 方法2：基于docker inspect对比元数据
- 方法3：导出容器文件系统与镜像做逐层对比
- 方法4：利用docker commit生成临时镜像对比
- 方法5：使用docker history检查层变化
- 方法6：自动化脚本组合多命令
实战：完整Shell脚本示例
常见问题与解决方案
问答专区
总结与最佳实践

核心概念：容器与镜像的本质区别

容器是镜像的一个可写实例，镜像则是只读的模板，当容器启动时，Docker在镜像层之上添加一个可写层（容器层），任何对容器的修改（如创建文件、安装软件、修改配置）都发生在这一层,而底层镜像保持不变。

Shell脚本如何比较容器与镜像差异

比喻：镜像就像一张光盘（只读），容器则是光盘上贴了一张便利贴（可写），便利贴上的内容覆盖了光盘的原始内容,但光盘本身没变。

为何需要比较容器与镜像差异？

场景	原因
故障排查	容器异常行为可能源于运行时修改配置或文件
审计合规	需要确认容器内没有未经授权的更改
镜像优化	了解容器运行时产生了哪些临时文件，用于精简镜像
环境迁移	将容器修改持久化到新镜像时，需要精确知道变更集合

Shell脚本比较差异的6种方法

以下方法均假设已安装Docker CLI,且Shell为Bash。

方法1：使用`docker diff`命令（最直接）

#!/bin/bash
# 比较运行中的容器与原始镜像的差异
CONTAINER_ID="your_container_name_or_id"
docker diff $CONTAINER_ID

输出示例：

C /etc  (更改)
A /tmp/abc.log  (新增)
D /old_file.conf  (删除)

缺点：仅显示文件级变更（新增/修改/删除）,不显示内容差异。

方法2：基于`docker inspect`对比元数据

#!/bin/bash
# 对比容器与镜像的配置差异（如CMD、ENV、Volumes等）
CONTAINER_ID="your_container_id"
IMAGE_NAME="your_image:tag"
container_config=$(docker inspect $CONTAINER_ID | jq '.[0].Config')
image_config=$(docker inspect $IMAGE_NAME | jq '.[0].Config')
# 使用diff命令比较两个JSON对象
diff <(echo "$container_config" | jq --sort-keys) <(echo "$image_config" | jq --sort-keys)

适用：验证容器运行时环境变量是否被修改。

方法3：导出容器文件系统与镜像做逐层对比

#!/bin/bash
# 将容器和镜像分别导出为tar，再比较
CONTAINER_ID="your_container_id"
IMAGE_NAME="your_image:tag"
# 导出容器文件系统
docker export $CONTAINER_ID -o /tmp/container_fs.tar
# 从镜像创建临时容器并导出
docker create --name temp_compare $IMAGE_NAME
docker export temp_compare -o /tmp/image_fs.tar
docker rm temp_compare
# 对比两个tar包的文件列表差异
diff <(tar tf /tmp/container_fs.tar | sort) <(tar tf /tmp/image_fs.tar | sort)

进阶：可进一步用tar -x解压后比较文件内容。

方法4：利用`docker commit`生成临时镜像对比

#!/bin/bash
# 将容器提交为临时镜像，再与原镜像比较历史
CONTAINER_ID="your_container_id"
IMAGE_NAME="your_image:tag"
# 提交容器为新镜像
TEMP_IMAGE="temp_diff_image:latest"
docker commit $CONTAINER_ID $TEMP_IMAGE
# 比较镜像历史层
docker history --no-trunc $IMAGE_NAME > /tmp/original_history.txt
docker history --no-trunc $TEMP_IMAGE > /tmp/container_history.txt
diff /tmp/original_history.txt /tmp/container_history.txt
# 清理临时镜像
docker rmi $TEMP_IMAGE

原理：新建镜像会包含容器层的所有变更，通过diff历史层可看到新增文件体积等信息。

方法5：使用`docker history`检查层变化

#!/bin/bash
# 查看镜像各层大小及指令，与容器层做对比
IMAGE_NAME="your_image:tag"
docker history $IMAGE_NAME --no-trunc --format "table {{.ID}}\t{{.Size}}\t{{.CreatedBy}}"

手动观察最后一层是否为容器添加的层。

方法6：自动化脚本组合多命令

见下节实战示例。

实战：完整Shell脚本示例

以下脚本综合性比较容器与镜像的差异，输出文件变化、配置变化及体积统计。

#!/bin/bash
# 脚本名称：container_image_diff.sh
# 功能：比较指定容器与镜像的差异
set -e
usage() {
    echo "用法: $0 <容器名称或ID> [镜像名称:标签]"
    echo "示例: $0 my_container my_image:latest"
    exit 1
}
# 检查参数
[ -z "$1" ] && usage
CONTAINER=$1
IMAGE=${2:-$(docker inspect --format='{{.Config.Image}}' $CONTAINER)} # 自动获取创建容器的镜像
echo "========================================"
echo "比较容器: $CONTAINER"
echo "与镜像: $IMAGE"
echo "========================================"
# 1. 文件系统差异
echo -e "\n[1] 文件系统变更 (docker diff):"
docker diff $CONTAINER | awk '{print $1, $2}' | head -50
# 统计变更数量
ADD=$(docker diff $CONTAINER | grep ^A | wc -l)
MOD=$(docker diff $CONTAINER | grep ^C | wc -l)
DEL=$(docker diff $CONTAINER | grep ^D | wc -l)
echo "--- 统计: 新增=$ADD, 修改=$MOD, 删除=$DEL ---"
# 2. 配置差异 (使用jq需要安装)
echo -e "\n[2] 配置差异 (docker inspect):"
if command -v jq &> /dev/null; then
    # 比较环境变量、入口点等关键字段
    for field in "Env" "Cmd" "Entrypoint" "WorkingDir" "ExposedPorts"; do
        container_val=$(docker inspect $CONTAINER | jq ".[0].Config.$field // empty")
        image_val=$(docker inspect $IMAGE | jq ".[0].Config.$field // empty")
        if [ "$container_val" != "$image_val" ]; then
            echo "字段 $field 不同:"
            echo "  容器: $container_val"
            echo "  镜像: $image_val"
        fi
    done
else
    echo "提示: 安装jq可获取详细配置对比 (apt-get install jq)"
fi
# 3. 体积差异 (通过docker history)
echo -e "\n[3] 体积差异:"
IMAGE_SIZE=$(docker images $IMAGE --format '{{.Size}}')
CONTAINER_SIZE=$(docker ps -s --format '{{.Size}}' --filter "name=$CONTAINER" | head -1)
echo "镜像大小: $IMAGE_SIZE"
echo "容器大小(含虚拟层): $CONTAINER_SIZE"
# 4. 如果容器正在运行，导出文件列表对比
echo -e "\n[4] 文件列表差异(导出tar对比):"
TEMP_FILE="/tmp/diff_$$.txt"
docker export $CONTAINER -o /tmp/container_$$.tar > /dev/null
docker create --name temp_$$ $IMAGE > /dev/null
docker export temp_$$ -o /tmp/image_$$.tar > /dev/null
docker rm temp_$$ > /dev/null
# 对比文件列表
diff <(tar tf /tmp/container_$$.tar | sort) <(tar tf /tmp/image_$$.tar | sort) > $TEMP_FILE || true
if [ -s $TEMP_FILE ]; then
    echo "文件列表差异如下:"
    cat $TEMP_FILE | head -20
else
    echo "文件列表无差异"
fi
# 清理临时文件
rm -f /tmp/container_$$.tar /tmp/image_$$.tar $TEMP_FILE
echo -e "\n========================================"
echo "对比完成"

执行方式： bash container_image_diff.sh my_nginx

常见问题与解决方案

Q1: 容器未运行，如何与镜像比较？

使用docker export导出停止容器的文件系统,与镜像导出的临时容器比较。

Q2: 比较结果太大，如何精简化？

使用grep -v排除常见临时目录（如/tmp、/var/log），或只关注/etc、/usr/local等关键路径。

Q3: 环境变量覆盖了镜像的值，脚本如何检测？

在方法2的jq对比中添加Env字段比较，或使用docker inspect $CONTAINER | jq '.[0].Config.Env'输出完整环境变量列表。

Q4: 镜像层数过多，docker diff耗时怎么办？

对于大型镜像，先限制比较范围：docker diff $CONTAINER | grep "^C /etc/" 只比较配置目录。

问答专区

问：docker diff能否显示文件内容的具体差异？

不能。docker diff只显示文件路径和状态（A/C/D），不显示文件内容的行级差异，如需内容对比，需结合docker cp导出文件后用diff命令比较。

问：如何比较多个容器与同一个镜像的差异？

在脚本外层添加循环：

for container in container1 container2 container3; do
    bash container_image_diff.sh $container
done

问：容器运行时自动生成的日志算差异吗？

算，例如Nginx容器写入/var/log/nginx/access.log，docker diff会显示为A（新增），这是合理差异,需区分。

问：脚本需要用root权限吗？

通常不需要，但确保当前用户属于docker组，否则需sudo。

问：如何将比较结果导出为报告？

在脚本末尾添加tee或重定向：
bash container_image_diff.sh my_container | tee report.txt

总结与最佳实践

通过Shell脚本比较容器与镜像差异,核心价值在于：

发现预期之外的变更（如被入侵后的异常文件）
审计合规（确保容器行为与镜像设计一致）
辅助CI/CD（自动检测环境漂移）

最佳实践建议：

优先使用docker diff，轻量且直接,适合快速检查。
对于生产环境,推荐导出tar文件后定期用脚本自动化比对。
将比较脚本集成到监控系统（如Prometheus + Alertmanager）,当文件差异超过阈值时告警。
注意清理临时镜像和tar文件,避免磁盘占用。

延伸思考：若使用Kubernetes，可结合kubectl debug进入Pod的Ephemeral容器做类似对比,原理相同。

Shell脚本如何比较容器与镜像差异