dive: khám phá layer ảnh Docker

dive làm gì và vì sao layer ảnh lại quan trọng

dive là một terminal UI (TUI) giúp bạn mở một ảnh Docker hoặc OCI rồi xem qua từng layer, cho biết chính xác layer nào đã thêm, sửa, hoặc xoá file gì. Layer quan trọng vì một Dockerfile copy file sai thứ tự, hoặc dọn dẹp ở một RUN sau thay vì ngay trong RUN đó, có thể khiến hàng gigabyte bị lặp lại giữa các layer mà không bao giờ thực sự biến mất khỏi ảnh cuối cùng.

Khám phá layer, file và hiệu quả ảnh

• ✓Duyệt filetree theo từng layer: chọn một layer bên trái, xem nội dung gộp với mọi layer trước đó bên phải, di chuyển bằng phím mũi tên.
• ✓Theo dõi thay đổi theo layer: file được thêm, sửa, hoặc xoá đều được đánh dấu trong cây file, xem riêng cho layer đang chọn hoặc gộp tới thời điểm đó.
• ✓Điểm hiệu quả ảnh: một điểm phần trăm mang tính thử nghiệm cộng với tổng số byte lãng phí, ước tính dung lượng mất đi do file bị lặp hoặc còn sót lại qua các layer.
• ✓`dive build -t <tag> .` thay cho `docker build` và đưa bạn thẳng vào phân tích ảnh vừa build xong.
• ✓Chế độ CI (`CI=true dive <image>`) bỏ qua giao diện UI, trả về mã thoát pass/fail dựa trên rule trong file `.dive-ci`.
• ✓Nhiều nguồn ảnh qua `--source`: Docker engine, một Docker tar archive trên đĩa, hoặc Podman.
• ✓Keybinding và file cấu hình tuỳ chỉnh được: độ rộng pane filetree, trạng thái collapse mặc định, hiển thị thuộc tính file.

Cài đặt dive trên Linux, macOS và Windows

Trên Debian và Ubuntu, script cài đặt trong README lấy tag release mới nhất từ GitHub API rồi cài file `.deb` tương ứng bằng `apt install`; RHEL và CentOS làm tương tự với file `.rpm`. Cũng có gói snap, nhưng README cảnh báo không nên dùng cách này nếu Docker của bạn được cài qua `apt-get`, vì có thể làm hỏng Docker daemon đang chạy (xem issue #546). Arch Linux có dive trong kho extra chính thức, cài bằng `pacman -S dive`. Trên macOS, `brew install dive` hoặc `sudo port install dive` (MacPorts) đều dùng được, hoặc bạn tải bản Darwin từ trang releases. Trên Windows, Chocolatey (`choco install dive`), Scoop (`scoop install main/dive`), và winget (`winget install --id wagoodman.dive`) đều được hỗ trợ, cùng với tải trực tiếp. Với Go, chạy `go install github.com/wagoodman/dive@latest` (cần Go 1.10 trở lên), nhưng README lưu ý cách này không nhúng version nên `dive -v` sẽ không hiển thị đúng. Nix, NixOS, x-cmd, và image Docker (`docker pull docker.io/wagoodman/dive` hoặc `ghcr.io/wagoodman/dive`) là các lựa chọn còn lại.

Phân tích ảnh Docker đầu tiên với dive

Chạy `dive <your-image-tag>` với bất kỳ image nào đã pull hoặc build sẵn — `dive nginx:latest` sẽ mở TUI ngay. Nếu đang build mới, `dive build -t <some-tag> .` thay cho lệnh `docker build` thông thường và đưa bạn vào phân tích ngay khi build xong. Trong giao diện, Tab chuyển giữa danh sách layer và cây file, Ctrl+F lọc file, phím mũi tên (hoặc j/k kiểu vim) để di chuyển. Khi chạy dive qua container Docker, bạn cần mount Docker socket (`-v /var/run/docker.sock:/var/run/docker.sock`); nếu version API Docker local không khớp, đặt biến `DOCKER_API_VERSION`, còn nếu dùng runtime khác như Colima thì export `DOCKER_HOST` trước để dive tìm được image local. Muốn kiểm tra kiểu script thay vì mở UI, đặt `CI=true` trước lệnh.

Tìm dung lượng lãng phí và giảm kích thước ảnh

• •Debug Dockerfile nhiều stage: tìm đúng bước RUN hay COPY nào thực sự làm ảnh phình to, thay vì đoán mò từ `docker history`.
• •Chặn kích thước trước khi merge: gắn `CI=true dive` cùng file `.dive-ci` vào CI/CD pipeline để build fail khi dung lượng lãng phí hoặc điểm hiệu quả vượt ngưỡng bạn đặt.
• •So sánh base image: xem phần phình to đến từ layer của base image hay từ layer ứng dụng của bạn nhiều hơn.
• •Dọn dẹp Dockerfile cũ không ai muốn đụng vào, để tìm file đã copy vào nhưng chưa từng bị xoá ở layer sau.

Các cách khác để soi layer ảnh Docker

Câu hỏi thường gặp về dive

Vấn đề mà dive giải quyết

Dockerfile phình to dần qua từng lần chỉnh sửa — một apt cache chưa từng được xoá, một build artifact copy vào trước khi RUN sau đó xoá đi, một base image đổi mà không kiểm tra lại đã đổi những gì — và không cái nào trong số đó hiện ra ở con số dung lượng ảnh đơn thuần. `docker history` liệt kê dung lượng từng layer nhưng không cho biết file nào nằm trong đó, nên việc lần ra dung lượng đã đi đâu thường phải đoán hoặc build đi build lại để thử. dive mở image ra và cho thấy đúng cây file của từng layer, nên chính khoản lãng phí này hiện rõ chỉ trong một lần xem.

Nên dùng dive khi nào — và khi nào nên bỏ qua

Nên thử dive nếu bạn đang giữ một Dockerfile đã phình to qua nhiều lần chỉnh sửa và muốn biết chính xác dung lượng đang nằm ở đâu trước khi tối ưu container theo kiểu mò mẫm, hoặc muốn có một bước chặn kích thước tự động trong CI thay vì để người tự nhìn `docker images`. Bỏ qua nếu bạn chỉ thỉnh thoảng cần một con số dung lượng — `docker history` hay `docker images` đã trả lời được điều đó mà không cần cài thêm binary nào, hoặc nếu môi trường của bạn không thể mount Docker socket.

Repo liên quan