自建Docker Registry根域名无需认证是否正常？如何排查？

是否为预期情况？ #

这不是预期情况。默认配置下，通过REGISTRY_AUTH=htpasswd开启基础认证后，Docker Registry会对所有API路径（包括根域名/）强制要求认证，不会单独放过根路径。

排查步骤 #

1. 直接验证Registry容器的根路径响应 #

绕过nginx-proxy，直接访问Registry容器的5000端口，确认问题源头：

curl http://localhost:5000/

• 如果直接访问也不需要认证：问题出在Registry自身配置
• 如果需要认证：问题出在nginx-proxy的转发/认证规则

2. 检查Registry的实际生效配置 #

进入Registry容器，查看自动生成的配置文件，确认认证规则是全局生效的：

docker exec registry.mydomain.com cat /etc/docker/registry/config.yml

正常的auth配置应该无路径限制，格式如下：

auth:
  htpasswd:
    realm: basic-realm
    path: /auth/registry.mydomain.com

如果看到url或rules字段限定了认证路径，说明配置被自定义规则覆盖。

3. 检查nginx-proxy的vhost配置 #

nginx-proxy会自动生成对应域名的vhost配置，默认在容器的/etc/nginx/vhost.d/registry.mydomain.com文件（或你本地挂载的对应目录）：

• 查看是否存在auth_basic off;这类跳过认证的规则，尤其是针对根路径/的配置
• 检查/etc/nginx/conf.d/下的全局配置，是否有影响该域名的认证跳过规则
• 若发现异常配置，删除后重启nginx-proxy容器：docker restart nginx-proxy

4. 排除浏览器缓存干扰 #

用浏览器隐私模式访问根路径，或用curl不带认证参数测试：

curl https://myregistry.com/

对比带认证的请求：

curl -u 你的用户名:你的密码 https://myregistry.com/

如果带认证和不带认证返回内容一致，但/v2路径正常，可能是缓存导致的假像。

总结 #

大概率是nginx-proxy的自动生成配置中存在跳过根路径认证的规则，或者Registry配置被意外修改导致认证范围受限。按上述步骤逐步排查即可定位问题。

内容的提问来源于stack exchange，提问作者Kraken