关键在于建立覆盖标签命名、推送约束、保留规则和拉取控制的版本策略体系：强制语义化标签（vX.Y.Z）、禁用latest生产推送、按环境隔离仓库、保留关键版本、部署时只拉取固定digest。
要在 Docker 中防止生产环境镜像版本混乱，关键不是“只配仓库”，而是建立一套覆盖标签命名、推送约束、保留规则和拉取控制的版本策略体系。单纯依赖仓库默认行为（比如 push 什么就留什么）必然导致 tag 冲突、latest 覆盖、历史不可追溯等问题。
统一语义化标签规范
强制所有构建流程使用 vX.Y.Z 格式打标签，禁用 latest 推送至生产项目：
- CI/CD 流水线中通过脚本校验：
if [[ ! "$TAG" =~ ^v[0-9]+\.[0-9]+\.[0-9]+$ ]]; then exit 1; fi - 在 Harbor 或 Nexus 中配置项目级策略，拒绝匹配
^latest$或^dev-.*$的 tag 推送（Harbor 可用预置 webhook + 自定义拦截器；Nexus Pro 支持 upload rule） - 为每个发布版本附加 Git Commit SHA 和构建时间戳（如
v1.2.0-gitabc123-202605011422），便于故障回溯
按环境隔离仓库或项目空间
不共用同一 repository 名称空间，避免测试镜像污染生产命名空间：
- Harbor 中为 prod / staging / dev 创建独立项目，设置不同推送权限（例如仅 release pipeline 账号可推
prod/app-api） - 使用命名前缀区分环境：
prod/nginx:v1.25.3、staging/nginx:v1.25.3-rc1，而非全用nginx:latest - Nexus 中为各环境创建独立 Docker 仓库，并绑定对应 cleanup policy 和 deployment role
启用自动保留策略，防止无序堆积
清理不是“删旧”，而是“保新+保稳”——确保关键版本始终在线：
- Harbor 保留策略示例：对
prod/*项目，保留匹配^v[0-9]+\.[0-9]+\.[0-9]+$的 tag，且每个主版本（如v1.*）至少留 3 个最新 patch 版本 - 对
main或release/*分支构建的镜像，额外保留最近 90 天内所有符合语义化版本的镜像 - Registry 原生方案需配合脚本定期调用 API 删除旧 manifest，再执行
garbage-collect，但务必先确认 digest 未被任何 active deployment 引用
生产环境只允许拉取固定 digest
彻底规避 tag 被覆盖风险，Kubernetes 或 docker-compose 中强制使用 sha256:xxx 拉取：
- CI 流程在成功推送后，记录并输出完整 digest（如
localhost:5000/app:v1.2.0@sha256:abcd...） - 部署清单（YAML / env 文件）中禁止出现
:tag，全部替换为@sha256:... - Harbor 开启内容信任（Notary），要求生产集群只接受已签名且 digest 已验证的镜像
