如何在运行时获取Docker镜像标签与对应镜像的inspect信息？

问题一：运行时场景下获取Docker镜像标签的方法 #

镜像标签属于Docker宿主机侧的元数据，容器运行时默认存在隔离边界，无法直接感知，可根据实际场景选择对应方案：

• 宿主机侧直接查询：已知运行中容器的ID或名称时，可直接反查容器绑定的启动镜像标签，执行命令：
  docker inspect --format='{{.Config.Image}}' <容器ID/容器名称>
  命令返回值就是启动容器时使用的完整镜像标签字符串，比如nginx:stable、registry.example.com/app:v1.2.3
• 容器内部运行时查询：由于容器和宿主机存在元数据隔离，默认无法在容器进程内直接读取镜像标签，生产环境优先选择构建时固化标签、启动时注入环境变量的方案：
  1. 启动容器时通过命令行参数把当前使用的镜像值注入容器环境：docker run -e CURRENT_IMAGE_TAG='<你使用的镜像标签>' ...
  2. 容器内部进程直接读取CURRENT_IMAGE_TAG环境变量即可获取对应值

  风险提示：不要为了获取标签直接把宿主机/var/run/docker.sock挂载进容器，这种操作会给容器赋予宿主机Docker的完全管控权限，存在极高的安全风险。

问题二：运行态容器获取docker inspect <镜像>查询结果的方法 #

docker inspect <镜像>返回的是镜像原生的全量元数据，这类数据和运行中的容器是强绑定关系，不需要停止容器即可完整获取，操作路径如下：

1. 先通过运行中的容器拿到其绑定的镜像完整哈希值，执行命令：
   docker inspect --format='{{.Image}}' <运行中容器ID/容器名称>
   命令返回的是类似sha256:abcd1234xxxx...的完整镜像哈希
2. 直接用拿到的哈希值执行标准inspect命令，即可获得和查询带标签镜像完全一致的结果：
   docker inspect <上一步获取的镜像哈希值>
   返回内容涵盖镜像层结构、原生环境变量、启动入口、构建历史等所有原本通过docker inspect <镜像标签>可查询的信息

• 简化组合命令：可通过shell管道把两步操作合并，无需手动复制哈希值：
  docker inspect $(docker inspect --format='{{.Image}}' <运行中容器ID/容器名称>)

注意区分两类inspect结果的差异：容器本身的inspect返回的是叠加了运行时配置（比如端口映射、临时挂载、环境变量覆盖）的运行态信息，和镜像原生的元数据存在差异，若要获取镜像的原生配置，必须走“从容器反查镜像ID、再查询镜像ID元数据”的路径。
即使后续宿主机上的镜像标签被修改、删除，只要容器处于运行状态，其绑定的镜像哈希不会发生变化，依然可以通过上述路径完整查询到对应的镜像元数据。

内容的提问来源于stack exchange，提问作者user3187103