关于OCI兼容镜像仓库GET /token端点规范及scope请求参数语法的技术咨询

你问到的这个GET /token端点和scope参数的定义，其实都包含在OCI Distribution Specification（镜像分发规范）里，我来帮你拆解清楚：

1. 关于GET /token端点的规范 #

这个端点属于规范里的Token Authentication（令牌认证）章节，是OCI兼容镜像仓库统一实现的标准认证接口，核心作用就是获取访问仓库资源的Bearer Token。不管是Docker Hub、GHCR还是其他OCI合规仓库，都会用这个接口来校验请求者的权限，确保只有授权用户能执行拉取、推送镜像等操作。

2. scope请求参数的语法详解 #

scope参数是用来明确请求的具体权限范围的，格式是固定的三元结构：

• repository:<镜像仓库完整路径>:<操作权限>
  • 第一部分repository：固定关键字，标识这是针对镜像仓库资源的权限请求
  • 第二部分<镜像仓库完整路径>：就是你要访问的镜像的全路径，比如你例子里的library/hitch（Docker Hub官方库的hitch镜像）、homebrew/core/go（GHCR上的homebrew核心仓库go镜像）
  • 第三部分<操作权限>：允许执行的动作，常用的有pull（拉取镜像）、push（推送镜像），部分仓库还支持用*表示所有权限

3. 结合你的例子理解 #

拿你给出的Docker Hub请求命令来看：

curl -so "token.json" "https://auth.docker.io/token?service=registry.docker.io&scope=repository:library/hitch:pull"

这里的service=registry.docker.io是指定你要访问的目标镜像仓库服务标识，scope则明确请求拉取library/hitch镜像的权限，拿到的token也只会被允许执行这个特定操作。

另一个GHCR的例子同理：

curl -so "token.json" "https://ghcr.io/token?service=ghcr.io&scope=repository:homebrew/core/go:pull"

service=ghcr.io指定目标是GitHub容器仓库，scope请求拉取homebrew/core/go镜像的权限。

补充说明：规范里还定义了这个端点的其他可选参数（比如client_id用来标识客户端），返回的token是标准JWT格式，里面会包含授权的scope等信息，方便后续仓库校验权限。

备注：内容来源于stack exchange，提问作者Michael Altfield