容器别只写 latest：用摘要钉死镜像，出事时才知道自己拉的是哪一层