docker镜像仓库tag删除策略核心是精准、可追溯地清理无用tag以释放空间并保障ci/cd稳定；需理解tag与共享层关系，删除后须触发gc才能真正释放空间；常用策略包括按时间、数量、正则匹配及前缀保留，并需配合审计日志与dry-run验证。
使用 Docker 镜像仓库的 Tag 删除策略，核心是通过自动或半自动方式清理不再需要的镜像 Tag，从而释放存储空间、避免仓库臃肿、提升 CI/CD 流程稳定性。关键不在于“删得越多越好”，而在于“删得精准、可追溯、不影响运行”。
理解 Tag 与镜像层的关系
Docker 中，Tag 是指向镜像 manifest 的别名，多个 Tag 可能指向同一组底层 layer（镜像层）。直接删除 Tag 不一定释放磁盘空间——只有当某个 layer 不再被任何 Tag 或 dangling 引用时，才可能被垃圾回收。因此，删除策略必须配合镜像层清理机制（如 docker image prune 或仓库自带的 GC）。
- 一个镜像 ID 可能有多个 Tag（如
app:1.2.0、app:latest、app:stable） - 删除
app:latest不影响app:1.2.0，但若两者共用全部 layer，则磁盘占用不变 - 真正释放空间需确保 layer 失去所有引用，再触发仓库 GC
常用删除策略及适用场景
主流镜像仓库（Harbor、Docker Hub、ECR、ACR、Nexus）均支持基于规则的 Tag 自动清理，常见策略包括：
- 按时间保留：例如“只保留最近 30 天内推送的 Tag”，适用于每日构建的开发分支镜像
-
按数量保留：例如“每个仓库最多保留 10 个 Tag”，适合稳定版本发布节奏（如每版打一个
vX.Y.Z） -
按正则匹配排除：例如保留
^v[0-9]+\.[0-9]+\.[0-9]+$和^main$，删除其余测试/临时 Tag（如dev-20240501、pr-42） -
按标签前缀/后缀组合：如保留
prod-开头的 Tag，清理test-、tmp-
在 Harbor 中配置 Tag 保留策略（实操要点）
Harbor v2.0+ 提供图形化策略配置，需注意以下细节：
- 策略作用于项目（Project）级别，需先启用“不可变标签”（Immutable Tags）才能安全启用自动清理
- 策略条件支持 AND 组合：例如“Tag 匹配
.*-snapshot且 推送时间早于 7 天” - 执行模式分“立即执行”和“定时任务”，建议首次启用选“手动触发”，验证无误后再设为 Cron（如每天凌晨 2 点）
- 策略日志可在“系统日志”中查看，含被删除 Tag 名称、镜像 digest 和操作人
配合 CLI 或脚本做补充清理
对于不支持策略的私有仓库，或需更灵活控制的场景，可用脚本辅助：
- 用
curl调用 Harbor API 获取 Tag 列表，按时间/名称过滤后调用DELETE /projects/{pid}/repositories/{repo}/artifacts/{digest}/tags/{tag} - 使用
skopeo检查远程镜像元数据，避免误删仍在使用的 Tag - 删除前写入审计日志：
echo "$(date): deleting $TAG on $REPO" >> /var/log/harbor-cleanup.log - 生产环境务必加 dry-run 开关，首次运行仅打印将删的 Tag，确认无误再执行真实删除
