使用Docker拉取GHCR镜像时遇unsupported media type错误求助

问题原因 #

你遇到的unsupported media type application/vnd.dev.cosign.simplesigning.v1+json错误，是因为GitHub Packages会将Cosign生成的镜像签名对象作为仓库的一部分列出，而Docker客户端在拉取未指定具体标签的镜像时，会尝试处理这些签名manifest，但当前Docker版本（即使是24.0.5）原生不支持这种媒体类型。

解决方案 #

1. 拉取时明确指定镜像标签或摘要 #

不要直接拉取仓库（如docker pull ghcr.io/your-account/your-repo），而是指定具体标签或镜像摘要，让Docker只处理目标镜像的manifest：

# 指定具体标签（比如latest或版本号）
docker pull ghcr.io/your-account/your-repo:latest
# 或者指定镜像摘要（可从GitHub Packages页面或Action的build-and-push步骤输出中获取）
docker pull ghcr.io/your-account/your-repo@sha256:xxxxxxxxx

2. 修改GitHub Action中的Cosign签名命令 #

给签名对象添加专属前缀，让它和原镜像标签区分开，避免Docker拉取时误处理。修改Action中的签名步骤：
原命令：

run: echo "${TAGS}" | xargs -I {} cosign sign --yes {}@${DIGEST}

替换为：

run: echo "${TAGS}" | xargs -I {} cosign sign --yes --attachment-tag-prefix sig- {}@${DIGEST}

修改后，签名对象的标签会变成sig-latest、sig-v1.0.0这类，和原镜像标签完全区分，拉取原标签时就不会触发错误。

3. 启用Docker实验性OCI Artifacts支持（可选） #

通过启用Docker的实验性功能来支持OCI Artifacts类型，但此方法需要额外配置，且不一定能完全适配GitHub Packages的处理逻辑：

• 编辑Docker配置文件~/.docker/config.json，添加以下内容：

  {
    "experimental": "enabled"
  }
  

• 重启Docker服务后尝试拉取。

内容的提问来源于stack exchange，提问作者Hady_Khann