一次编译全架构分发只需 docker buildx build 配合 --platform 和 --push：先创建并验证构建器支持目标平台（如 linux/amd64、linux/arm64），再指定多平台并推送，buildx 自动构建并生成 manifest list；最后用 docker manifest inspect 验证，并推荐 cosign 签名保障可信。
直接用 docker buildx build 配合 --platform 和 --push 就能实现一次编译、全架构分发，不需要手动拼 manifest 或分步构建。关键在构建器初始化、平台声明和推送机制三步到位。
确保 buildx 构建器支持目标平台
新版 Docker（27.x+）默认启用 buildx，但仍需确认构建器已加载所需架构支持：
- 运行
docker buildx create --use --name mybuilder --bootstrap创建并激活构建器 - 执行
docker buildx inspect --bootstrap查看输出中的Platforms字段，确认含linux/amd64、linux/arm64等目标项 - 若缺失 ARM 类平台（如在 x86 主机上），需先注册 QEMU：运行
docker run --privileged --rm tonistiigi/binfmt:latest --install all
声明目标平台并触发并行构建
构建命令中明确指定所有需交付的架构，BuildKit 会自动调度对应平台的构建任务：
- 用
--platform linux/amd64,linux/arm64,linux/arm/v7列出全部目标（逗号分隔，不加空格） - 推荐搭配
--push直接推送，buildx 会在上传完成后自动生成application/vnd.docker.distribution.manifest.list.v2+json清单 - 示例完整命令：
docker buildx build --platform linux/amd64,linux/arm64 --tag ghcr.io/your-org/app:v1.0 --push .
验证多架构镜像是否生效
推送完成后，通过 manifest 检查确认各架构已正确注册：
- 运行
docker manifest inspect ghcr.io/your-org/app:v1.0，返回 JSON 中应包含多个manifests条目，每个含platform.architecture和对应digest - 在不同架构机器上执行
docker pull ghcr.io/your-org/app:v1.0，Docker 引擎会自动拉取匹配本机架构的镜像层 - 避免使用
docker images查看——它只显示本地缓存的单一架构镜像，不能反映远程 manifest 结构
生产环境建议补充签名保障
仅构建推送还不够，上线前应确保镜像完整性和清单可信：
- 用 Cosign 对最终 manifest list 签名：先
docker manifest inspect导出 JSON，再cosign sign-blob --key cosign.key myapp-manifest.json - 签名后上传至同一仓库路径，使下游可通过
cosign verify-blob校验 manifest list 本身未被篡改 - 基础镜像务必选用官方多架构版本（如
debian:bookworm-slim、ubuntu:22.04），避免因某架构缺失导致构建失败
