如何利用Docker镜像仓库API实现自动化提取镜像层指纹操作？

本文共计657个文字，预计阅读时间需要3分钟。

要通过Docker镜像仓库API自动化提取镜像层指纹，核心是获取manifest并从中解析layers[d].digest。这些digest值就是各层的SHA256指纹，具有内容寻址、不可篡改、跨仓库验证等关键特性。

1. 先获取镜像清单（Manifest），指定正确的 Accept 头

直接请求 GET /v2/<name>/manifests/<tag> 会失败，除非明确声明期望的清单格式。Registry 要求客户端在请求头中指明 Accept：

• 对 OCI 镜像（推荐）：加 Accept: application/vnd.oci.image.manifest.v1+json
• 对传统 Docker 镜像：用 Accept: application/vnd.docker.distribution.manifest.v2+json
• 不确定类型时，可合并写：Accept: application/vnd.oci.image.manifest.v1+json,application/vnd.docker.distribution.manifest.v2+json

2. 完成 Bearer Token 认证流程

大多数私有 Registry（Harbor、ECR、GCR）和 Docker Hub 不接受基础认证。必须走标准令牌流程：

• 首次请求 manifest 返回 401 后，从响应头 WWW-Authenticate 提取 realm、service 和 scope
• 向 realm 地址发起 GET 请求，带上 service 和 scope 参数（如 ?service=registry.example.com&scope=repository:myapp:pull）
• 从返回 JSON 中取出 token 字段，后续所有请求使用 Authorization: Bearer <token>

3. 解析 manifest 获取 layer digest 列表

成功拿到 manifest 后，其 JSON 中 layers 数组每项都含 digest 字段，即该层的唯一指纹：

{ "schemaVersion": 2, "mediaType": "application/vnd.oci.image.manifest.v1+json", "layers": [ { "mediaType": "application/vnd.oci.image.layer.v1.tar+gzip", "size": 2816979, "digest": "sha256:abc123...def456" } ] }

提取全部 layers[].digest 即可获得所有层指纹。注意：这些值是完整内容哈希，可用于校验层完整性、比对镜像差异、构建 SBOM 或接入安全扫描工具（如 Trivy）。

4. 补充说明：避免误用 tag，优先用 digest 操作

Tag（如 latest）是可变的，不能代表确定内容；而 layer digest 是不可变的内容指纹。自动化脚本中应：

• 用 tag 获取 manifest → 提取 digest → 后续所有操作（拉取层、删除、比对）均基于 digest
• 不依赖 /tags/list 接口（多数 Registry 默认禁用或需额外权限）
• 如需长期追踪某层，保存其 sha256:xxx 值比保存 tag 更可靠