容器别只写 latest：用摘要钉死镜像，出事时才知道自己拉的是哪一层

写 image:latest 省事，排查供应链事件时最吃亏：同一天不同小时拉到的层可能不是同一份。更稳的习惯是把标签和内容摘要一起记下来。

常用三步：

1. 拉完立刻记 digest：docker image inspect REPO:TAG --format '{{index .RepoDigests 0}}'，把 sha256:… 写进部署清单。

2. 编排文件尽量写 image: REPO@sha256:…，或至少写不可变的具体版本号，而不是漂浮的 latest / main-stable。

3. CI 里对第三方基础镜像做校验：对比官方公布的 digest，失败就阻断；私有 registry 打开内容信任或签名校验（按你们栈选型）。

出过问题的窗口里，只搜「装过某个版本号」往往不够，还要对照宿主机 / 构建机在可疑时段是否拉取过受影响标签。重建镜像、轮换密钥和清掉被污染的缓存层，比在原环境里「再 pip 一次」更干净。

说明：具体签名与策略命令以你们使用的引擎、registry 文档为准；本篇只固定「钉死摘要」这一条习惯。

来源

[1] docker pull，Docker Docs，查阅于2026年10月24日。

#Docker #镜像摘要 #供应链 #运维习惯 #CI