加载失败
该讨论围绕一篇回顾 Docker 十年（投稿 CACM）的文章展开，回顾了 Docker 早期通过重用 SLIRP/VPNKit 绕过企业防火墙、以及后来引入 BuildKit 的演进。评论者来自不同实践背景，讨论焦点包括 Dockerfile 的普及原因、与 Nix/Guix 在可复现构建与 hermeticity 上的差异、以及在 macOS/rootless 场景下的网络实现痛点（WireGuard、Pasta、Colima 等）。同时，社区对镜像体积随 ML 依赖膨胀、注册表/快照器去重需求、以及 unikernels、静态链接等根本替代方案的可行性展开了争论。
评论普遍认为 Dockerfile 能长期占优的关键是其极高的灵活性：从已知的文件系统/发行版出发、拷贝文件并在镜像内运行任意 shell 命令，正好映射了运维长期的工作流。/bin/sh 的可用性和“把命令搭接上去”的社交扩展性使得即便有更声明式的方案，人们也倾向于用熟悉的 shell 作为逃生舱。虽然有人希望以更高层次 DSL（比如 Puppet/terraform 风格）标准化构建步骤，但评论指出这些 DSL 在遇到未覆盖需求时会退化为执行外部命令，最终仍回到脚本化。社区也提到 BuildKit/LLB 等作为底层构建后端存在，说明 Dockerfile 既是人类友好的前端，也是与更低层标准兼容的落地方案。
多条评论把问题归结为可复现性与 hermetic builds：Nix 的强项不是避免运行任意命令，而是通过沙箱化和无网络构建来保证可缓存、可重现的输出，从而避免诸如 `apt update` 导致的脏缓存。实现可复现镜像还要处理文件时间戳、tar/gzip、不同行为的 JSON 编码，以及包管理器自身在归档中嵌入时间戳等细节，已有工具（如 regctl）和 BuildKit 对 SOURCE_DATE_EPOCH 的支持在缓解这些问题。评论同时指出 Nix 的劣势：构建/沙箱开销、对未打包软件的维护成本，以及把每个软件都包装进生态的长期维护负担；有人提到实验性按单文件粒度的构建和分布式构建可以改善重编译范围，但实现仍有工程难题。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6]
评论回顾认为 Docker 把“it works on my machine”从借口变成了一种可执行的交付范式——用 Dockerfile 把构建步骤写成可重复的配方，从而显著降低把服务推向生产的摩擦。许多人感激 Docker 早期带来的社区活力和速度，但也有广泛的反思：容器化把许多部署与打包的琐事掩盖起来，导致技术债累积、安全疏忽以及大家不愿学正统打包技能。评论还把当下的 AI 编码代理比作新一轮的文化冲击——同样的“先把东西包装好再发布”的惯性可能再次把问题掩盖而非根治。
文章与评论详细讨论了 Docker 为绕过企业防火墙而重用 SLIRP（以及 VPNKit 组件）的历史，社区称这是“临时但有效”的黑客做法；与此同时，Podman 等项目已从 slirp4netns 迁移到 Pasta 表示网络实现在演进。macOS 环境因把容器运行在嵌入式 Linux VM 上，常见需求（希望容器有与宿主机不同的可访问 IP）变得复杂，用户提到借助 WireGuard、Tailscale 扩展或 Colima 等工具可以缓解。评论还澄清 SLIRP 的定位：它不是传统桥接，而是为无特权网络命名空间提供用户态网络转发，适用于 rootless 容器场景。
多位评论者抱怨 ML/深度学习依赖（如 torch、tensorflow）把镜像大小从几十 MB 拉到数 GB 甚至十几 GB，严重影响构建、拉取与启动时间。问题包括依赖被重复安装、层间无法高效共享大文件，以及传统镜像层模型对大二进制文件不友好；为此有人在做带文件级去重的注册表和 snapshotter，以及研究 overlayBD、tar 层预加载等技术来加速启动。社区还提到通过更智能的依赖管理、pip/构建缓存（如 uv）等方法能减少构建时间，但总体上需要镜像层与注册表级别的工程改进来应对 ML 时代的体量增长。
一些评论对 Docker 持根本性批评，认为它是针对“失败的 Linux 用户空间设计”所做的权宜之计，建议的替代方案包括静态链接、将依赖放在二进制旁边的 Windows 风格发布、或更极端的 unikernels（如 MirageOS）与微型 VM。有人宣称 unikernels 在其生产应用中表现出色并减少安全面，但也有观点指出这些替代方案要么门槛高、要么生态不成熟，难以替代 Docker 的低上手成本。围绕 Nix/Guix 的讨论显示出两极：一方面它们在可复现性与依赖隔离上更强，另一方面实现与维护成本及学习曲线使得广泛替换仍有阻力。
Dockerfile: 描述如何从基础镜像逐步构建容器镜像的文本配方，通过执行一系列 shell 命令和复制文件来生成镜像。
BuildKit / LLB: BuildKit 是 Docker 的构建后端，LLB（Low-Level Build）是其构建图的低级表示，支持并行、缓存和更复杂的前端替代方案。
Nix: 一种函数式包管理器与构建系统（及其相关发行版 NixOS），强调 hermetic builds、确定性与可重用的缓存机制。
hermetic builds（密封/隔离构建）: 构建在受控、无网络或受限依赖的环境中进行，保证相同输入产生相同输出，利于缓存与可复现性。
SLIRP / VPNKit: 用户态网络转发工具（SLIRP）及其在 Docker Desktop 中的包装（VPNKit），用于在无特权或嵌入式 VM 环境下实现容器网络而不使用传统桥接。
SOURCE_DATE_EPOCH: 一个环境变量/约定，用于在构建中统一文件时间戳以提高二进制与归档的可复现性。