3. Docker镜像版本管理：Tag规范、镜像仓库管理、镜像分层原理、Manifest文件解析

镜像版本管理，说白了就是给镜像打标签、存仓库、理解它怎么构成的。我见过太多团队因为Tag乱打，线上出了事故都找不到该回滚到哪个版本。今天咱们就把这块彻底聊透。

3.1 Tag规范：别让版本号变成灾难

Tag是镜像的“身份证”，但很多人把它当成了“便利贴”。我建议你遵循一套严格的命名规则。

<项目名>-<主版本>.<次版本>.<补丁版本>-<构建号>

我个人习惯把Tag分成三类：

• 固定版本Tag：如 v1.2.3，对应Git标签，不可变
• 滚动Tag：如 latest、stable，指向最新稳定版
• 构建元数据Tag：如 v1.2.3-b20240301.alpha，包含时间戳或分支信息

3.2 镜像仓库管理：你的镜像该放哪儿？

镜像仓库分两种：公共仓库和私有仓库。公共的比如Docker Hub，私有的比如Harbor、Nexus。我建议你至少搭建一套私有仓库。

为什么？你想想看，公共仓库万一挂了，你的CI/CD流水线就断了。我在项目中遇到过两次Docker Hub限流，直接导致部署阻塞。从那以后，我们团队就全面迁移到了自建Harbor。

仓库管理有几个关键点：

• 命名空间隔离：按团队或项目划分，比如 team-a/user-service
• 镜像清理策略：保留最近N个版本，删除过期镜像
• 访问控制：读写分离，开发人员只能push到dev仓库

3.3 镜像分层原理：为什么Docker镜像那么“瘦”？

Docker镜像的核心秘密就是分层。每一层都是只读的，像叠罗汉一样堆起来。你拉取一个镜像时，其实只拉取本地没有的层。

为什么会这样？因为Docker使用了UnionFS（联合文件系统）。每一层记录的是文件系统的“差异”，而不是完整快照。

举个例子：

FROM ubuntu:22.04          # 基础层，约80MB
RUN apt-get update          # 新增层，记录更新的包索引
RUN apt-get install -y nginx # 新增层，记录安装的nginx文件
COPY app.conf /etc/nginx/   # 新增层，记录配置文件
CMD ["nginx", "-g", "daemon off;"] # 元数据层，不占空间

每一层都是独立的。如果你有多个镜像共用同一个基础层，那基础层只需要存一份。这就是为什么Docker镜像比虚拟机镜像小得多的原因。

3.4 Manifest文件解析：镜像的“身份证”长什么样？

Manifest文件就是镜像的元数据清单。它描述了镜像包含哪些层、每层的校验和、以及配置信息。你可以用 docker manifest inspect 查看。

一个典型的Manifest长这样：

{
  "schemaVersion": 2,
  "mediaType": "application/vnd.docker.distribution.manifest.v2+json",
  "config": {
    "mediaType": "application/vnd.docker.container.image.v1+json",
    "size": 7023,
    "digest": "sha256:abc123..."
  },
  "layers": [
    {
      "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
      "size": 32654,
      "digest": "sha256:def456..."
    },
    {
      "mediaType": "application/vnd.docker.image.rootfs.diff.tar.gzip",
      "size": 16784,
      "digest": "sha256:ghi789..."
    }
  ]
}

这里有几个关键字段：

• schemaVersion：Manifest版本，目前主流是v2
• config：镜像配置，包含环境变量、入口命令等
• layers：层列表，每个层有唯一的digest（SHA256哈希）

digest是镜像层的“指纹”。你拉取镜像时，Docker会校验每一层的digest，确保数据没被篡改。这就是镜像的完整性保证。

知识体系总览

下面这张图帮你理清镜像版本管理的核心脉络：

嗯，到这里你应该对镜像版本管理有了整体认识。Tag规范是基础，仓库管理是保障，分层原理是核心，Manifest是细节。四者缺一不可。

我在实际项目中，通常先定好Tag规范，再搭建私有仓库，然后优化Dockerfile利用分层缓存，最后用Manifest做完整性校验。这套流程跑下来，镜像管理基本不会出大问题。