镜像层只读，容器单独拥有可写层；镜像层全部作为 lowerdir，容器运行才新增 upperdir 可写层，使用写时复制 CoW 机制。容器镜像是静态、只读的软件模板，不包含操作系统内核，打包了应用代码、依赖库、配置、环境变量以及完整 rootfs 根文件系统，本身不能运行进程。启动容器时，镜像全部只读层作为 lowerdir，额外生成容器专属可写层 upperdir；容器所有修改、新增、删除都发