如何从Github GHCR拉取私有Docker镜像并编写可执行拉取脚本

架构老林

2026-9-28

解决方案

1. 提前确认PAT权限

你创建的PAT必须勾选read:packages权限，其余权限不需要勾选，过期时间可根据团队使用需求自行设置。

2. 纠正命令执行逻辑

你之前的命令报错有两个核心原因：

docker login的--password-stdin参数需要接收PAT作为标准输入，你没有传入PAT内容，反而用管道直接串联了pull命令
登录和拉取是先后执行的两个操作，不能用管道直接串联，要等登录成功后再执行拉取

正确的手动执行命令如下（更安全，不会在shell历史中留下PAT明文）：

echo "你的PAT字符串" | docker login ghcr.io -u 你的GitHub用户名 --password-stdin && docker pull ghcr.io/username/appname:master

3. 开箱即用的run.sh脚本

你可以直接使用下方脚本，替换对应变量后交给前端开发者执行即可：

#!/bin/bash
# 请根据实际情况修改下方三个变量
GITHUB_USERNAME="你的GitHub用户名"
GHCR_READ_PAT="具备read:packages权限的PAT字符串"
IMAGE_URL="ghcr.io/username/appname:master"

# 登录GHCR
echo "${GHCR_READ_PAT}" | docker login ghcr.io -u "${GITHUB_USERNAME}" --password-stdin
if [ $? -ne 0 ]; then
    echo "登录GHCR失败，请检查用户名、PAT是否正确，以及PAT是否有read:packages权限"
    exit 1
fi

# 拉取镜像
docker pull "${IMAGE_URL}"
if [ $? -ne 0 ]; then
    echo "拉取镜像失败，请确认镜像地址是否正确"
    exit 1
fi

# 下方可补充镜像运行命令，根据你的实际需求修改端口、环境变量、挂载等配置
# 示例：docker run -d -p 3000:3000 --name backend-server "${IMAGE_URL}"

echo "镜像拉取完成，可执行对应的run命令启动服务"