无需拉取镜像，如何检查Docker镜像是否有新版本？

要实现不下载镜像就能对比本地与Docker Hub镜像的版本，核心是通过获取远程镜像的Digest（仓库中镜像的唯一标识）和本地镜像的Digest进行比对，具体步骤如下：

1. 获取远程镜像的Digest #

使用docker manifest inspect命令拉取镜像的元数据（仅获取小体积的manifest文件，不会下载完整镜像），提取远程镜像的Digest：

• 查看所有架构的镜像Digest：

  docker manifest inspect pihole:latest
  

  输出中会包含各个架构（如amd64、arm64）对应的digest字段。

• 精准提取指定架构（比如amd64）的Digest（需提前安装jq工具）：

  docker manifest inspect pihole:latest | jq -r '.manifests[] | select(.platform.architecture == "amd64") | .digest'
  

注意：若Docker未启用manifest功能，需在/etc/docker/daemon.json中添加"experimental": true，重启Docker服务后即可使用。

2. 获取本地镜像的Digest #

通过docker inspect提取本地镜像的关联Digest：

docker inspect --format='{{index .RepoDigests 0}}' pihole:latest 2>/dev/null | cut -d'@' -f2

如果本地没有该镜像，命令会返回空；若存在，会输出本地镜像对应的Digest。

3. 自动化对比脚本示例 #

可以用以下脚本一键完成对比：

#!/bin/bash
IMAGE="pihole:latest"
ARCH="amd64"

# 获取远程镜像Digest
REMOTE_DIGEST=$(docker manifest inspect $IMAGE | jq -r ".manifests[] | select(.platform.architecture == \"$ARCH\") | .digest")

# 获取本地镜像Digest
LOCAL_DIGEST=$(docker inspect --format='{{index .RepoDigests 0}}' $IMAGE 2>/dev/null | cut -d'@' -f2)

if [ -z "$LOCAL_DIGEST" ]; then
  echo "本地未找到镜像 $IMAGE"
elif [ "$REMOTE_DIGEST" = "$LOCAL_DIGEST" ]; then
  echo "$IMAGE 本地镜像已是最新版本"
else
  echo "$IMAGE 发现更新：远程Digest为 $REMOTE_DIGEST，本地Digest为 $LOCAL_DIGEST"
fi

补充说明 #

• Digest是Docker仓库中镜像的唯一标识，比镜像Tag（如latest）更可靠，因为Tag可以被重新指向不同的镜像。
• Watchtower工具本质也是通过检查远程manifest的Digest来判断是否需要更新，上述方法相当于手动实现了类似的核心逻辑。

内容的提问来源于stack exchange，提问作者petr42