如何本地无需访问registry计算Docker镜像的确定性可复现校验和

RepoDigest属性说明 #

Docker 1.10+版本引入的RepoDigest本身就符合你的需求：它仅由镜像各层内容、不含名称/标签/仓库信息的镜像配置共同计算生成，完全不受镜像命名、归属仓库、打标操作影响，具备100%的内容确定性，且无需连接Registry即可本地生成。

本地计算的两种可行方案 #

方案1：原生Docker命令实现（无额外依赖） #

直接通过docker save导出镜像并排除可变元数据后计算哈希，适合所有安装了标准Docker的环境：

1. 构建镜像时先打任意临时标签：

docker build . --no-cache -t temp-img:tmp

2. 执行单行命令计算仅基于内容的校验和：

docker save temp-img:tmp | tar -xO --exclude=manifest.json --exclude=repositories | sha256sum

多次构建相同内容的镜像时，该命令输出的哈希值完全一致。

方案2：Buildx构建直接输出摘要（更高效） #

新版Docker默认自带的Buildx组件支持直接输出内容寻址的镜像摘要，无需额外导出计算步骤：

# 直接构建并输出确定性摘要
IMAGE_DIGEST=$(docker buildx build . --no-cache --quiet --output type=oci,dest=/dev/null)
echo $IMAGE_DIGEST

该命令输出的摘要和推送至Registry后得到的RepoDigest完全一致，且构建过程不需要任何网络连接。

效果验证 #

以你给出的测试场景为例：

• 固定文件a的内容，Dockerfile使用FROM scratch加COPY a /a的配置
• 多次执行带--no-cache的构建命令，两种方案得到的校验和均完全相同，不会随构建次数变化

适用场景说明 #

计算得到的校验和完全可以满足你的需求：

• 可用于CI系统的镜像依赖声明，无需依赖Docker原生缓存即可判断镜像是否需要重建
• 可直接作为签名对象，和传统tar包的sha256校验值使用方式完全一致
• 完全符合可复现构建的要求，仅当镜像实际内容变化时校验和才会变更

内容的提问来源于stack exchange，提问作者Jakob Odersky