Dockerhub私有仓库显示几秒前拉取镜像但本人未操作，是否存在安全风险？

原因排查说明 #

你遇到的image was pulled a few seconds ago状态提示绝大多数情况下不属于安全风险，常见原因及排查方式如下：

非安全风险类常见原因 #

• Docker Hub前端缓存bug：这是最高发的原因，平台对非活跃私有仓库的拉取状态存在缓存不更新的问题，会长期卡在最后一次拉取操作的提示文案，修改账户密码不会触发该类前端状态的缓存刷新，大量用户都反馈过同类显示异常。
• 授权第三方服务触发拉取：如果你曾经给CI/CD工具（如GitHub Actions、GitLab CI）、云服务部署任务、自动构建工具授权过仓库访问权限，这些服务的定时或触发式拉取操作都会生成拉取记录，无需你手动执行操作。
• 自有设备自动拉取配置：如果你的个人服务器、办公设备中配置了--pull always的容器启动参数，或是部署了watchtower这类自动更新镜像的工具，也会在后台自动执行拉取操作，很容易被忽略。

安全风险排查步骤 #

如果要彻底排除安全隐患，可以按以下步骤核对：

1. 查看Docker Hub审计日志：进入账号设置的「Security > Audit Log」页面，所有拉取、推送、权限变更操作都会留下带IP地址、操作时间的记录，你可以核对所有pull操作的IP是否属于你本人或已授权的服务。
2. 检查仓库授权列表：确认私有仓库的协作者列表中没有陌生账号，且仓库状态没有被误设为公开。
3. 清理失效授权凭证：进入账号设置的「Security > Personal Access Tokens」和「OAuth Apps」页面，删除所有不再使用、来源不明的访问令牌和第三方应用授权，注意修改账户密码不会自动吊销已经签发的有效访问令牌，未清理的令牌依然可以正常访问你的私有仓库。
   如果审计日志中没有对应时间的异常拉取记录，即可确认是前端显示bug，完全不存在安全风险。

内容的提问来源于stack exchange，提问作者Zain Ul Abideen