Docker Compose（新旧版本）从AWS ECR拉取镜像失败问题求助

我来帮你梳理下问题核心并给出针对性解决方案——你遇到的本质是环境变量无法被新旧版本Docker Compose正确读取，导致从AWS ECR拉取镜像时出现格式错误或服务识别异常，下面分步骤解决：

1. 先解决sudo执行时环境变量丢失的问题 #

当你用sudo执行Docker Compose命令时，默认会重置环境变量，你手动导出的DOCKER_REGISTRY不会被传递到sudo环境中，这是最直接的诱因。有两种快速解决方式：

• 方式一：用-E参数让sudo保留当前用户的环境变量：

  sudo -E docker compose -f docker-compose.prod.yml pull
  sudo -E docker-compose -f docker-compose.prod.yml pull
  

• 方式二：直接在sudo命令中显式传递变量：

  sudo DOCKER_REGISTRY=$DOCKER_REGISTRY docker compose -f docker-compose.prod.yml pull
  

2. 确保.env.prod文件被Compose正确加载 #

Docker Compose默认只会读取当前目录下的.env文件，而你的DOCKER_REGISTRY存在.env.prod里，所以需要显式指定这个环境文件（注意：docker-compose.yml里的env_file是给容器内部用的，不负责解析Compose层面的变量，比如image: ${DOCKER_REGISTRY}/xxx这种）：

# 新版docker compose
sudo -E docker compose -f docker-compose.prod.yml --env-file .env.prod pull

# 旧版docker-compose
sudo -E docker-compose -f docker-compose.prod.yml --env-file .env.prod pull

3. GitHub Actions CI/CD中的特殊配置 #

在GitHub Actions里不需要用sudo（runner用户默认拥有Docker权限），同时要做好变量注入和ECR登录两步：

第一步：配置仓库密钥 #

在GitHub仓库的「Settings → Secrets and variables → Actions」中添加以下密钥：

• DOCKER_REGISTRY：你的AWS ECR地址（比如123456789012.dkr.ecr.us-east-1.amazonaws.com）
• AWS_ACCESS_KEY_ID、AWS_SECRET_ACCESS_KEY：拥有ECR访问权限的AWS密钥
• AWS_REGION：ECR所在的AWS区域

第二步：编写Workflow步骤 #

jobs:
  deploy:
    runs-on: ubuntu-latest
    steps:
      # 先拉取代码
      - name: Checkout code
        uses: actions/checkout@v4

      # 登录AWS ECR（必须步骤，否则拉取镜像会提示权限不足）
      - name: Login to AWS ECR
        uses: aws-actions/amazon-ecr-login@v1
        env:
          AWS_ACCESS_KEY_ID: ${{ secrets.AWS_ACCESS_KEY_ID }}
          AWS_SECRET_ACCESS_KEY: ${{ secrets.AWS_SECRET_ACCESS_KEY }}
          AWS_REGION: ${{ secrets.AWS_REGION }}

      # 拉取镜像
      - name: Pull images from ECR
        env:
          DOCKER_REGISTRY: ${{ secrets.DOCKER_REGISTRY }}
        run: docker compose -f docker-compose.prod.yml pull

4. 验证变量是否生效 #

可以先执行以下命令确认变量是否被正确读取，避免后续踩坑：

# 验证当前用户环境变量
echo $DOCKER_REGISTRY

# 验证sudo环境下的变量
sudo -E echo $DOCKER_REGISTRY

# 让Compose打印解析后的完整配置，确认镜像地址是否正确替换
sudo -E docker compose -f docker-compose.prod.yml --env-file .env.prod config

如果config命令输出的image字段里${DOCKER_REGISTRY}被替换成了你的ECR地址，说明变量读取正常，再执行pull就应该能成功拉取所有镜像了。

补充说明：旧版docker-compose只拉取了db服务，大概率是因为db的image字段没有用到${DOCKER_REGISTRY}（比如用了公共镜像如postgres），所以即使变量为空也能正常拉取；而其他服务因为变量为空导致镜像格式错误，旧版Compose直接跳过了这些服务的拉取流程。

内容的提问来源于stack exchange，提问作者Dmitriy Lunev