Docker镜像仓库自动清理需“先删标签、再清层、后验证”，按Harbor、Registry、Nexus类型选策略，守住保护线、兜底线、追溯线，执行闭环并加固防误删。
配置 Docker 镜像仓库自动清理策略，核心是“先删标签、再清层、后验证”，不是简单设个定时任务就完事。重点在于策略精准、操作安全、空间真正释放。
按仓库类型选对方法
不同仓库清理机制差异大，不能套用同一套脚本：
- Harbor（推荐企业首选）：v2.0+ 内置图形化保留策略，支持标签正则、时间、数量多条件组合，策略绑定到项目级，启用前需开启“不可变标签”防止误覆盖
-
Docker Registry（原生）：无 UI、无自动策略，必须手动开启
delete.enabled: true，再通过 API 按 manifest digest 删除 tag，最后停服执行garbage-collect - Nexus Repository（Pro 版）：支持 Cleanup Policies，可设置“匹配正则 + 修改早于 X 天 + 至少保留 Y 个”，策略可绑定到仓库并启用自动扫描或定时触发
策略设计要守住三条线
避免删错、删漏、删不干净：
-
保护线：明确保留哪些 tag，例如
^v[0-9]+\.[0-9]+\.[0-9]+$（语义化版本）、^main$、^prod-.*$、latest，其他一律可清理 -
兜底线：每个镜像名下至少保留 N 个（如 5 个），防止策略误判导致全部清空；对测试类 tag（如
dev-、pr-、snapshot）单独设更激进规则（如只留最近 7 天） - 追溯线：所有删除操作必须记录日志，Harbor 可查系统日志，自建脚本需写入文件或发告警，含被删 tag、digest、时间、操作人
执行流程必须闭环
只删 tag 不 GC = 白删；不验证 GC 效果 = 不知道删没删成：
- Harbor：配置策略后先点“手动触发”，检查日志确认删了哪些，再设为 Cron（如每天凌晨 2 点）
- Registry：先用
--dry-run模式跑 GC 预览，确认将删 blob 数量和大小；再停 registry 容器，执行真实 GC；完成后用du -sh /var/lib/registry对比磁盘变化 - 通用验证项：删前/删后查
curl -s $REG_URL/v2/$REPO/tags/list | jq '.tags | length'，确认 tag 数下降；查仓库监控指标（如 Harbor 的harbor_registry_storage_used_bytes）看空间是否释放
生产环境加固要点
防误删、防中断、防失效：
- 所有 API 调用使用短期令牌（TTL ≤ 24h），禁用明文密码；Harbor 推荐用 robot account
- 清理脚本加锁机制，避免多个任务并发执行冲突
- GC 前检查 registry 是否有写入中请求（如 Harbor 的 job service 正在做扫描），否则跳过本次执行
- 对 NFS 或对象存储后端，确认其支持原子 rename 和 delete，否则 GC 可能失败静默
