如何用Golang获取GCP GCR镜像SHA值以进行容器漏洞分析

核心思路 #

通过GCP官方的Container Registry Go客户端库，解析镜像参考并获取其manifest信息，从中提取SHA256格式的digest值，该值就是容器分析接口所需的SHA部分。

实现步骤与代码示例 #

1. 导入依赖包 #

确保你的项目引入以下GCP官方包：

import (
    "context"
    "fmt"

    "cloud.google.com/go/containerregistry/pkg/authn"
    "cloud.google.com/go/containerregistry/pkg/name"
    "cloud.google.com/go/containerregistry/pkg/v1/google"
    "cloud.google.com/go/containerregistry/pkg/v1/remote"
)

2. 编写获取Digest的函数 #

基础版本（默认处理latest标签）

如果你的镜像列表返回的projectid/reponame/image默认指向latest标签，使用这个函数：

func getImageDigest(ctx context.Context, imageShortName string) (string, error) {
    // 拼接完整镜像参考（默认添加latest标签）
    fullRefStr := fmt.Sprintf("gcr.io/%s:latest", imageShortName)
    ref, err := name.ParseReference(fullRefStr)
    if err != nil {
        return "", fmt.Errorf("解析镜像参考失败: %w", err)
    }

    // 创建GCP认证器，自动使用应用默认凭证
    auth, err := google.NewAuthenticator(ctx, ref.Context().Registry.String())
    if err != nil {
        return "", fmt.Errorf("创建认证器失败: %w", err)
    }

    // 获取镜像的描述信息，包含digest
    desc, err := remote.Get(ref, remote.WithAuth(auth), remote.WithContext(ctx))
    if err != nil {
        return "", fmt.Errorf("获取镜像描述失败: %w", err)
    }

    // 返回完整的digest字符串（格式为sha256:xxx）
    return desc.Digest.String(), nil
}

支持指定标签的版本

如果你的镜像使用非latest标签，扩展函数支持传入标签参数：

func getImageDigestWithTag(ctx context.Context, imageShortName string, tag string) (string, error) {
    fullRefStr := fmt.Sprintf("gcr.io/%s:%s", imageShortName, tag)
    ref, err := name.ParseReference(fullRefStr)
    if err != nil {
        return "", fmt.Errorf("解析镜像参考失败: %w", err)
    }

    auth, err := google.NewAuthenticator(ctx, ref.Context().Registry.String())
    if err != nil {
        return "", fmt.Errorf("创建认证器失败: %w", err)
    }

    desc, err := remote.Get(ref, remote.WithAuth(auth), remote.WithContext(ctx))
    if err != nil {
        return "", fmt.Errorf("获取镜像描述失败: %w", err)
    }

    return desc.Digest.String(), nil
}

3. 构造容器分析接口所需的完整镜像URL #

获取到digest后，直接拼接成要求的格式：

func main() {
    ctx := context.Background()
    imageShortName := "projectid/reponame/image"
    
    digest, err := getImageDigest(ctx, imageShortName)
    if err != nil {
        panic(err)
    }

    // 构造符合要求的完整镜像URL
    fullImageURL := fmt.Sprintf("https://gcr.io/%s@%s", imageShortName, digest)
    fmt.Println("完整镜像URL:", fullImageURL)
    // 后续调用容器分析接口即可使用该URL
}

权限与认证说明 #

• 本地开发：设置GOOGLE_APPLICATION_CREDENTIALS环境变量，指向你的GCP服务账号密钥文件。
• GCP环境运行：使用默认服务账号，需确保账号拥有containerregistry.images.get权限（针对GCR）或artifactregistry.artifacts.list权限（针对Artifact Registry）。

适配Artifact Registry #

如果你的镜像存储在Artifact Registry，只需修改镜像参考的前缀，比如将gcr.io替换为你的AR地址（如us-central1-docker.pkg.dev），上述代码无需其他改动即可正常工作。

内容的提问来源于stack exchange，提问作者the1337beauty