启用Docker内容信任时FROM指令中--build-arg参数构建失败问题求助

我之前碰到过一模一样的问题，这是Docker 18.06版本里Docker Content Trust（DCT）的一个已知限制。当你开启DCT后，Docker会在构建流程的早期就尝试验证基础镜像的签名，但此时FROM busybox:${tag}里的ARG变量还没被替换成实际值，Docker没法识别busybox:${tag}这个无效的镜像引用，所以抛出了invalid reference format错误。

下面是几个可行的解决办法：

1. 升级Docker版本（推荐方案） #

Docker在19.03及以上的版本中修复了这个问题，支持在启用DCT的前提下，用ARG变量指定FROM指令里的镜像tag。如果你有升级权限，直接把Docker更到最新稳定版，就能继续用原来的Dockerfile和构建命令，不需要额外修改。

2. 硬编码基础镜像的tag #

如果暂时没法升级Docker，可以把Dockerfile里的ARG变量去掉，直接写死tag值：

FROM busybox:1.33.1

这样Docker启用DCT时，能直接识别busybox:1.33.1这个完整的镜像引用，正常完成签名验证和构建。缺点是如果要构建不同tag的镜像，得手动修改Dockerfile里的tag内容。

3. 通过Shell脚本动态替换Dockerfile内容 #

如果需要保留构建的灵活性，又不能升级Docker，可以写个简单的Shell脚本，先替换Dockerfile里的ARG占位符，再执行构建：

#!/bin/bash
# 传入要使用的tag作为脚本参数
TARGET_TAG=$1

# 生成替换后的临时Dockerfile
sed "s/FROM busybox:\${tag}/FROM busybox:$TARGET_TAG/" Dockerfile > Dockerfile.tmp

# 基于临时Dockerfile执行构建
docker build -f Dockerfile.tmp .

# 清理临时文件
rm Dockerfile.tmp

使用时执行以下命令：

export DOCKER_CONTENT_TRUST=1
./build.sh 1.33.1

这个脚本会先把Dockerfile里的${tag}替换成你指定的实际tag，再让Docker基于修改后的临时文件构建，这样DCT就能正确识别并验证基础镜像的签名了。

内容的提问来源于stack exchange，提问作者Jean-Baptiste Martin