在ci/cd中加速docker镜像拉取需三层协同：本地构建缓存（通过buildkit导出导入）、私有代理缓存（harbor proxy cache自动拦截缓存）、运行时预热（静默拉取+镜像策略优化）。
在 CI/CD 流水线中缓存 Docker 镜像加速拉取，核心不是“把镜像存下来复用”，而是减少重复下载、提升命中率、缩短网络等待。关键靠三层协同：本地构建缓存 + 私有代理缓存 + 运行时拉取优化。
用 BuildKit 持久化构建层缓存
默认的 Docker 构建缓存只存在于单次构建过程，CI 环境每次都是干净环境，必须主动导出和导入缓存：
- 启用 BuildKit：
export DOCKER_BUILDKIT=1或在命令中加--builder docker-container - 导出缓存到本地目录：
docker buildx build --cache-to type=local,dest=./build-cache --cache-from type=local,src=./build-cache -t myapp . - 在 CI 中挂载缓存目录（如 GitLab CI 的
cache:或 GitHub Actions 的actions/cache），让多次构建共享中间层 - 对多架构项目，可导出到 S3 或 MinIO，实现跨 runner 缓存复用
配置 Harbor Proxy Cache 加速公共镜像拉取
Harbor 的代理缓存是企业级 CI 最有效的“自动镜像缓存”方案——它不依赖构建逻辑，而是在拉取时自动拦截并缓存：
- 部署 Harbor 并启用 Proxy Cache 功能，上游指向
https://registry-1.docker.io - CI 机器的 Docker daemon 配置
registry-mirrors指向 Harbor 地址（如https://harbor.example.com） - 后续所有
docker pull nginx:1.25请求都会先查 Harbor 本地是否有缓存；没有则自动拉取并保存，下次直接返回 - 支持自动清理策略（按时间/空间）、镜像预热、权限隔离，适合金融、政企等强合规场景
统一镜像源与固定标签策略
缓存失效常源于“看不见的变更”，需从源头约束拉取行为：
- CI 脚本中所有
FROM和docker pull必须使用带明确 tag 的镜像，禁用:latest（例如用node:18.17.0-slim而非node:latest） - 基础镜像统一走内部 Harbor 仓库（如
harbor.example.com/base/node:18.17.0-slim），由运维团队统一同步和扫描 - 在
.dockerignore中排除node_modules/、dist/等无关内容，减小上下文体积，加快构建阶段缓存比对
运行时拉取阶段做轻量预热
某些 CI 场景（如部署前验证）需要确保目标节点已缓存关键镜像，可提前触发一次静默拉取：
- 在部署 job 前加一步：
docker pull --quiet harbor.example.com/myapp:v2.3.1 || true - 配合容器运行时（如 containerd）的
ctr images pull实现更细粒度控制 - 对 K8s 集群，可用
imagePullPolicy: IfNotPresent+ 提前kubectl run拉取，避免 Pod 启动时卡在镜像下载
