docker登录报错“unauthorized”核心原因是客户端未通过目标仓库身份验证；需确认是否已对正确仓库地址执行docker login、镜像名是否含匹配域名前缀、凭证是否有效（如令牌过期或权限不足），并检查自签名证书或http仓库的docker守护进程配置。
认证失败通常表现为 unauthorized、authentication required 或 pull access denied，核心原因是 Docker 客户端没通过目标仓库的身份验证。解决关键在于确认“谁要访问”、“访问哪”、“凭证是否有效”。
确认是否已登录对应仓库
私有仓库或部分公有仓库（如 GitHub Container Registry）必须先登录才能拉取。Docker 不会自动复用系统账号或浏览器登录态。
- 执行
docker login registry.example.com（把registry.example.com替换成你实际的仓库地址） - 若为 Docker Hub，可直接运行
docker login - 登录成功后，凭证会写入
~/.docker/config.json，可检查该文件是否存在对应条目
检查镜像地址与仓库域名是否匹配
镜像名里的域名前缀必须和登录时指定的仓库地址一致，否则认证信息不被调用。
- 错误示例：
docker login harbor.mycompany.com，却执行docker pull myapp:latest（默认走 Docker Hub） - 正确写法应为：
docker pull harbor.mycompany.com/project/myapp:latest - 如果镜像名不含域名，默认使用
docker.io，此时需docker login（无参数）
验证凭证是否过期或权限不足
特别是使用短期令牌（如 GitHub PAT、Harbor robot 账号）时，过期或权限配置不当会导致静默拒绝。
- 打开
~/.docker/config.json，查看对应仓库的auth字段是否为空或明显异常 - 重新登录：先
docker logout registry.example.com，再docker login重试 - 确认账号在仓库后台是否有
Pull权限（非仅Push），尤其私有仓库需单独授权
处理自签名证书或 HTTP 仓库
若私有仓库用 HTTPS + 自签名证书，或干脆是 HTTP 协议，Docker 默认拒绝连接。
- HTTPS 自签名：把证书文件（如
ca.crt）复制到/etc/docker/certs.d/registry.example.com/ca.crt，再重启 Docker - HTTP 仓库：在
/etc/docker/daemon.json中添加：{"insecure-registries": ["registry.example.com:5000"]}，然后systemctl restart docker
