如何固定Docker镜像版本实现可复现的稳定构建

Docker标签本质是关联到镜像的可移动指针，随时能被维护者重新指向新的镜像内容，哪怕是标注了版本号的标签，理论上也存在被覆盖篡改的可能，要实现100%可复现的构建，唯一可靠的方式是用镜像的SHA256内容摘要指定版本——这个值是根据镜像全量内容计算得出的，只要镜像内容有一丝变动，摘要值就会完全不同，不存在被篡改复用的可能。

具体操作步骤 #

• 先把当前已经验证过功能正常的对应版本镜像拉取到本地，比如你正在使用的data61/anonlink-app，执行拉取命令：

  docker pull data61/anonlink-app:latest
  

• 执行命令查询该镜像的完整摘要标识：

  docker inspect --format='{{index .RepoDigests 0}}' data61/anonlink-app:latest
  

  输出结果格式为data61/anonlink-app@sha256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx，这串长哈希就是对应镜像的永久唯一标识。
• 把compose文件里所有使用浮动标签的镜像都按上述方法查出对应的摘要值，包括data61/anonlink-nginx、redis:5.0、jaegertracing/all-in-one:latest；即便是当前已经写了固定版本标签的postgres、minio系列镜像，如果要追求绝对的构建可复现，也建议替换成摘要值。
• 修改compose配置里的image字段，把原来的标签写法替换为摘要写法，比如原来的配置：

  image: data61/anonlink-app:${TAG:-latest}
  

  替换为：

  image: data61/anonlink-app@sha256:替换为你实际查询到的哈希值
  

  所有用到该镜像的服务（backend、db_init、worker）都统一替换为同一个摘要值，其余镜像按相同逻辑修改即可。

补充优化建议 #

• 如果对构建可复现性要求极高，可以把验证过的所有镜像同步推送到自己可控的私有镜像仓库，直接引用私有仓库地址，避免公共仓库镜像被删除、覆盖的风险。
• 尽量不要在需要稳定运行的环境里使用latest标签，即使用版本号标签，也要标注到最细的版本粒度，比如用redis:5.0.14代替redis:5.0，能规避大部分版本意外变动的问题。
• 可以在CI流程里增加镜像摘要校验步骤，拉取镜像后自动对比摘要值和配置中记录的值是否一致，避免配置被意外修改。

内容的提问来源于stack exchange，提问作者John