Как работает новый Docker --squash

Если я добавлю секретный файл в свой первый слой, затем использую секретный файл во втором слое и, наконец, удалю свой секретный файл в третьем слое, а затем создам с флагом --squash.

Будет ли теперь какой-нибудь способ получить секретный файл?

Ответ: на вашем изображении не будет секретного файла.

Как работает --squash:

После завершения сборки Docker создает новый образ, загружая различия из каждого слоя в один новый слой и ссылаясь на все родительские слои.

Другими словами: при сжатии Docker берет все слои файловой системы, созданные сборкой, и сворачивает их в один новый слой.

Это может упростить процесс создания минимальных образов контейнеров, но может привести к немного более высоким накладным расходам при перемещении изображений (поскольку сжатые слои больше не могут быть разделены между изображениями). Docker по-прежнему кэширует отдельные слои, чтобы ускорить последующие сборки.

Обратите внимание, что эта функция сжимает все вновь созданные слои в один слой, а не сжимает их до нуля.

Примечания:

Docker 1.13 также поддерживает сжатие контекста сборки, который отправляется из CLI в демон с использованием флага --compress. Это ускорит сборку, выполняемую на удаленных демонах, за счет уменьшения объема отправляемых данных.

Обратите внимание, что в Docker 1.13 эта функция является экспериментальной.