镜像命名规范:
  [registry_host[:port]/][namespace/]repository[:tag|@digest]

  示例:
  nginx:alpine                    → Docker Hub, library/nginx, tag: alpine
  docker.io/library/nginx:alpine  → 完整地址
  ghcr.io/user/app:v1.0           → GitHub Container Registry
  harbor.example.com/prod/app:latest  → 私有仓库

# 查看镜像的 digest
docker inspect --format '{{index .RepoDigests 0}}' nginx:alpine

# 使用 digest 拉取（确保精确版本）
docker pull nginx@sha256:xxxxx

# 拉取最新标签
docker pull nginx:latest

# 拉取指定版本
docker pull nginx:1.25-alpine

# 拉取所有标签（谨慎使用，数据量大）
docker pull -a nginx

# 从指定仓库拉取
docker pull ghcr.io/linuxserver/nginx:latest

# 拉取指定平台的镜像
docker pull --platform linux/arm64 nginx:alpine

docker pull nginx:alpine

1. 解析镜像名: docker.io/library/nginx:alpine
2. 查询本地是否已有该镜像
3. 请求 Registry 获取 manifest
4. 解析 manifest，确定需要的层
5. 对比本地已有层，仅下载缺失的层
6. 并发下载各层（可配置并发数）
7. 验证每层的 SHA256 校验和
8. 解压并存储到本地 overlay2 目录
9. 创建镜像索引记录

# 列出本地镜像
docker images
# 或
docker image ls

# 输出示例:
# REPOSITORY   TAG            IMAGE ID       CREATED        SIZE
# nginx        alpine         a1b2c3d4e5f6   2 weeks ago    41MB
# ubuntu       22.04          f1b2c3d4e5f6   1 month ago    77MB
# python       3.11-slim      d1b2c3d4e5f6   3 weeks ago    125MB

# 格式化输出
docker images --format "table {{.Repository}}\t{{.Tag}}\t{{.Size}}"

# 过滤镜像
docker images --filter "dangling=true"    # 悬空镜像
docker images --filter "before=nginx:alpine"
docker images --filter "reference=*nginx*"

# 查看镜像详细信息
docker inspect nginx:alpine

# 查看镜像历史（各层的构建命令）
docker history nginx:alpine

# 格式化查看历史
docker history nginx:alpine --format "table {{.CreatedBy}}\t{{.Size}}" --no-trunc

# 为镜像添加新标签
docker tag nginx:alpine my-registry.com/nginx:v1.0

# 标记为多个标签
docker tag nginx:alpine my-nginx:latest
docker tag nginx:alpine my-nginx:v1.25
docker tag nginx:alpine my-nginx:stable

# 查看所有标签
docker images my-nginx
# REPOSITORY   TAG      IMAGE ID       SIZE
# my-nginx     latest   a1b2c3d4e5f6   41MB
# my-nginx     v1.25    a1b2c3d4e5f6   41MB
# my-nginx     stable   a1b2c3d4e5f6   41MB

# 1. 登录到 Docker Hub
docker login
# 输入用户名和密码

# 2. 登录到私有仓库
docker login harbor.example.com

# 3. 标记镜像（必须包含仓库地址）
docker tag my-app:latest my-dockerhub-user/my-app:v1.0

# 4. 推送镜像
docker push my-dockerhub-user/my-app:v1.0

# 5. 推送所有标签
docker push -a my-dockerhub-user/my-app

# 6. 登出
docker logout
docker logout harbor.example.com

docker push my-user/my-app:v1.0

1. 检查认证信息（~/.docker/config.json）
2. 上传镜像 manifest
3. 检查远程仓库已有哪些层
4. 仅上传缺失的层（并行上传）
5. 每层上传前检查是否已存在（跨仓库去重）
6. 上传完成，manifest 关联各层

# 删除指定镜像
docker rmi nginx:alpine

# 删除多个镜像
docker rmi nginx:alpine ubuntu:22.04

# 强制删除（即使有容器引用）
docker rmi -f nginx:alpine

# 删除所有悬空镜像（dangling images）
docker image prune

# 删除所有未使用的镜像
docker image prune -a

# 删除指定时间前的未使用镜像
docker image prune -a --filter "until=72h"

# 查看镜像占用空间
docker system df
# TYPE          TOTAL   ACTIVE  SIZE     RECLAIMABLE
# Images        15      5       2.5GB    1.8GB (72%)
# Containers    8       3       100MB    80MB (80%)
# Local Volumes 10      4       500MB    300MB (60%)
# Build Cache   20      0       1.2GB    1.2GB (100%)

manifest list (多架构清单):
  nginx:latest
    ├── linux/amd64  → sha256:aaa...
    ├── linux/arm64  → sha256:bbb...
    ├── linux/arm/v7 → sha256:ccc...
    └── linux/ppc64le → sha256:ddd...

docker pull nginx:latest
  → 自动选择当前平台对应的镜像

# 查看镜像的多架构信息
docker manifest inspect nginx:alpine

# 输出中包含 platforms 字段:
# "platforms": [
#   { "architecture": "amd64", "os": "linux" },
#   { "architecture": "arm64", "os": "linux" },
#   ...
# ]

# 拉取指定平台的镜像
docker pull --platform linux/arm64 nginx:alpine

# 查看本地镜像的架构
docker inspect nginx:alpine | jq '.[0].Architecture'

# 1. 创建新的 builder 实例
docker buildx create --name mybuilder --use
docker buildx inspect --bootstrap

# 2. 构建多架构镜像并推送到仓库
docker buildx build \
    --platform linux/amd64,linux/arm64,linux/arm/v7 \
    -t my-user/my-app:v1.0 \
    --push .

# 3. 仅构建（不推送，加载到本地）
docker buildx build \
    --platform linux/amd64 \
    -t my-app:latest \
    --load .

# 4. 查看 builder 实例
docker buildx ls

# 5. 清理 builder
docker buildx rm mybuilder

# 多架构构建的最佳实践
FROM --platform=$BUILDPLATFORM node:20-alpine AS builder
ARG TARGETPLATFORM
ARG BUILDPLATFORM
ARG TARGETARCH

WORKDIR /app
COPY package*.json ./
RUN npm ci

COPY . .
RUN echo "Building for $TARGETPLATFORM on $BUILDPLATFORM" && \
    npm run build

FROM --platform=$TARGETPLATFORM node:20-alpine
COPY --from=builder /app/dist /app/dist
COPY --from=builder /app/node_modules /app/node_modules
WORKDIR /app
CMD ["node", "dist/index.js"]

# 导出镜像为 tar 文件
docker save -o nginx.tar nginx:alpine
docker save nginx:alpine ubuntu:22.04 > images.tar

# 导入 tar 文件
docker load -i nginx.tar

# 导出容器的文件系统（不含镜像元数据）
docker export my-container > container.tar

# 从文件系统创建新镜像
docker import container.tar my-image:imported

# 查看镜像的所有层
docker history nginx:alpine --no-trunc

# 使用 dive 工具分析镜像层（推荐安装）
# https://github.com/wagoodman/dive
dive nginx:alpine

# 查看镜像的详细配置
docker inspect nginx:alpine | jq '.[0].Config'

# 查看环境变量
docker inspect nginx:alpine | jq '.[0].Config.Env'

# 查看暴露的端口
docker inspect nginx:alpine | jq '.[0].Config.ExposedPorts'

# 查看入口点和命令
docker inspect nginx:alpine | jq '.[0].Config.Entrypoint'
docker inspect nginx:alpine | jq '.[0].Config.Cmd'

docker inspect nginx:alpine | jq '.[0].Config'

{
  "Hostname": "",
  "Env": [
    "PATH=/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin",
    "NGINX_VERSION=1.25.3"
  ],
  "Cmd": ["nginx", "-g", "daemon off;"],
  "ExposedPorts": { "80/tcp": {} },
  "Entrypoint": ["/docker-entrypoint.sh"],
  "Volumes": null,
  "WorkingDir": "",
  "User": ""
}

# 使用 Docker Scout 扫描镜像漏洞
docker scout cves nginx:alpine

# 快速概览
docker scout quickview nginx:alpine

# 比较两个镜像的安全状况
docker scout compare nginx:1.25-alpine nginx:1.24-alpine

# 使用 Trivy 扫描（第三方工具）
trivy image nginx:alpine

# 仅查看高危和严重漏洞
trivy image --severity HIGH,CRITICAL nginx:alpine