如何查询构建指定Docker镜像所使用的Docker版本？

你之前使用的docker image history无法拿到目标信息，核心原因是该命令默认截断非指令类元数据、且不解析BuildKit加密存储的构建环境块，可通过以下两种方式获取相关信息：

1. 从镜像内置元数据块直接提取 #

• 首先执行镜像元数据查询命令：docker inspect <目标镜像ID/名称:标签>
• 在返回的结构化结果中，优先定位3类关联信息：
  • 优先查找Config.Labels字段下的io.buildkit.buildinfo.v1值：这是BuildKit默认写入的base64编码构建环境信息，解码后可直接得到构建时使用的Docker daemon版本、BuildKit组件版本
  • 其次查找Config.Labels下的org.opencontainers.image.*系列标签：符合OCI构建规范的镜像会在这里标注构建工具链的完整版本
  • 最后查看非截断模式下的层创建时间戳，可辅助匹配对应时期Docker版本的默认构建行为特征
• 可使用精简命令直接过滤目标字段，无需查看全量元数据：
  docker inspect --format '{{index .Config.Labels "io.buildkit.buildinfo.v1"}}' <目标镜像>
  拿到的base64字符串解码后即可查看完整的构建环境信息

2. 展开非截断模式的镜像历史信息 #

• 执行带全量输出参数的历史查询命令：docker image history --no-trunc <目标镜像>
• 对比默认输出的截断结果，这个模式下会显示所有层附带的元数据标签，包含构建引擎写入的版本签名信息

注意事项：上述方法的生效前提是构建过程未主动关闭元数据留存。如果构建时设置了--provenance=false参数、手动清空了构建相关标签，镜像本身不会存储任何和构建引擎版本关联的信息，这类场景下无法通过镜像本身逆向得到对应的构建Docker版本。

内容的提问来源于stack exchange，提问作者steadweb