如何在不推送镜像的情况下验证Registry颁发的access-token的仓库推送权限？

核心问题拆解 #

你之前通过授权流程获取带push scope的access-token时无权限不报错，本质是因为授权服务器仅校验凭证合法性，不会预先验证scope对应的实际权限——只要凭证有效，就会返回包含请求scope的令牌，真正的权限校验只会在后续调用仓库API时触发。

可靠解决方案：模拟推送前置请求校验权限 #

直接通过触发仓库的权限校验接口来验证，这是最准确的方式：

1. 先获取带目标scope的访问令牌 #

按Registry标准授权流程，请求包含repository:<目标仓库名>:push scope的access-token，不管权限是否存在，先拿到合法令牌。

2. 发送无副作用的权限校验请求 #

向私有仓库发送HEAD请求到镜像manifest端点，路径格式如下：

HEAD /v2/<目标仓库名>/manifests/health-check-temp

或者用blob上传初始化请求（同样无实际数据上传）：

PUT /v2/<目标仓库名>/blobs/uploads/

请求头必须携带令牌：Authorization: Bearer <你的access-token>

3. 根据响应状态码判断权限 #

• 返回200 OK/202 Accepted：凭证具备推送权限，客户端可设为就绪状态
• 返回403 Forbidden：明确无推送权限，客户端标记为未就绪
• 返回401 Unauthorized：令牌无效或原始凭证不合法，需重新校验凭证

简化实现逻辑 #

把上述步骤封装成健康检查逻辑：

• 健康检查触发时，先确保持有有效带push scope的令牌
• 发送HEAD请求到仓库校验端点
• 根据响应结果更新客户端就绪状态

注意点 #

• 用临时标签（比如health-check-<时间戳>）避免干扰仓库现有镜像
• 优先用HEAD请求，比PUT请求更轻量化且无资源残留
• 处理令牌过期逻辑，健康检查前先刷新令牌（如果已过期）

内容的提问来源于stack exchange，提问作者Ani