优先选 digest，因其是镜像内容的不可变哈希值，能确保拉取的镜像是确定、可验证、防篡改的；而 tag 是可变指针，存在被覆盖风险，易导致环境不一致或行为突变。
pull 时用 tag 还是 digest？优先选 digest
用 docker pull 拉镜像，tag 看起来方便，但实际不可靠——latest 可能指向不同内容，v1.2 可能被重新打标。只有 digest（形如 sha256:abc123...）能保证拉到的镜像是确定、不可篡改的。
常见错误现象：docker pull nginx:1.25 在 A 机器拉的是旧版，在 B 机器拉的是新版，CI 构建结果不一致；或者某天突然发现镜像行为变了，但没改任何配置。
-
digest是镜像内容的哈希值，内容变则 digest 变，天然防篡改 -
tag是可变指针，维护者可以docker push --force覆盖同名 tag - 私有 registry 和 Harbor 默认支持 digest 拉取，Docker Hub 也完全支持
- 用
docker pull nginx@sha256:4a92e7e0f8c7d6a...才算真正锁定版本
怎么查到某个 tag 对应的 digest？别靠 docker images
docker images 显示的 IMAGE ID 不等于 digest，它只是本地层 ID，跨 registry 不通用。要拿到真实、可复现的 digest，必须查 registry 接口或用 docker inspect 配合远程信息。
使用场景：CI 流水线里不能写死 tag，得先获取 digest 再 pull；审计时需确认生产环境跑的是否为已验证的镜像。
- 最稳方式：用
curl查 Docker Hub API，例如curl -s "https://hub.docker.com/v2/repositories/library/nginx/tags/1.25/" | jq -r '.images[0].digest' - 更简单：先
docker pull nginx:1.25，再docker inspect nginx:1.25 --format='{{index .RepoDigests 0}}'（注意：必须 pull 过才有RepoDigests字段） - 别用
docker images --digests，它只显示本地缓存的 digest，可能为空或过期 - Harbor 用户建议直接在 Web UI 的 tag 页面点开详情，digest 清晰可见且带复制按钮
docker pull 用 digest 时的路径写法和常见报错
语法很简单，但格式错一个字符就失败。digest 必须紧贴镜像名，中间不能有空格，且必须带 @ 符号；registry 地址如果非 Docker Hub，必须显式写出。
典型错误信息：invalid reference format、no such manifest、unauthorized: authentication required。
- 正确写法：
docker pull nginx@sha256:4a92e7e0f8c7d6a...（Docker Hub） - 私有 registry：
docker pull myreg.example.com/myapp@sha256:...，不能漏掉域名 - 如果遇到
unauthorized，说明该 digest 属于 private repo，得先docker login myreg.example.com - 拉取后
docker images不会显示 tag，只显示<none></none>，这是正常现象；可用docker image ls --digests确认 digest 是否存在
CI/CD 中硬编码 digest 还是动态解析？看更新频率
硬编码 digest 最安全，但维护成本高；动态解析省事，却引入网络依赖和单点故障。关键不是“该不该”，而是“谁来负责更新”和“能不能接受延迟”。
性能影响很小——一次 HTTP 请求 + 一次 pull，比反复拉错 tag 导致重试快得多；兼容性无问题，所有现代 Docker 版本（≥18.09）都支持 digest 拉取。
- 基础镜像（如
golang:1.22、python:3.11-slim）建议定期人工更新 digest，并提交到仓库 README 或.env文件 - 内部服务镜像建议在构建流水线末尾自动记录 digest 到制品库元数据，下游直接读取，不现场解析
- 避免在 shell 脚本里用
$(curl ...)实时查 digest——CI 环境可能没网，或限流失败，导致整个流程中断 - digest 本身不含平台信息（如 linux/arm64），多架构镜像需额外确认
manifest list中对应架构的子 digest
digest 不是银弹，但它把“镜像一致性”这个隐性风险，变成了一个可看见、可验证、可审计的字符串。漏掉它，等于把版本控制权交给了别人的手动操作。
