dive

容器镜像层分析与体积优化

补充说明

dive 检查镜像的每一层、文件增删和浪费空间，帮助定位体积膨胀和构建缓存问题。它分析的是静态镜像内容，不是运行时行为或安全漏洞。

常用示例

dive nginx:latest
dive registry.example.com/app:1.0
dive --ci nginx:latest
dive --json app.tar
dive --source docker-archive app.tar
dive --source podman nginx:latest

.dive-ci：

rules:
  lowestEfficiency: 0.90
  highestWastedBytes: 20MB
  highestUserWastedPercent: 0.15

易错点与排错

• --ci 只按阈值返回结果，不提供交互界面；先本地跑一遍看细节。
• 镜像需要本地可访问；远程镜像会先拉取，多平台镜像要指定平台或导出归档。
• 浪费空间不一定是错误；缓存和元数据可能是有意保留的。
• 层数多不一定慢，关键看每层是否包含无用文件和重复内容。
• .dive-ci 的阈值要按项目基线设定；太严会让正常构建失败。
• dive 不是安全扫描器；漏洞和许可证问题要用 trivy/grype 等工具。
• 大镜像分析会占内存；CI 中给足资源或先导出归档。
• 优化镜像要改 Dockerfile（多阶段构建、合并层、清理缓存），dive 只负责发现。

相关命令

• docker-buildx — 构建镜像
• crane / regctl — 导出和检查镜像
• docker-compose — 本地运行