配docker镜像仓库webhook需两端打通：一端在仓库（如docker hub、harbor、acr等）配置回调地址与事件类型并启用；另一端部署http服务，严格校验签名、解析关键字段、返回明确状态码，并安全执行部署（防并发、保回滚、避停机）。
配 Docker 镜像仓库 Webhook，核心是两头打通：一端在仓库里填好回调地址，另一端部署一个能接收、验签、解析并安全执行的 HTTP 服务。不复杂但容易忽略细节，尤其签名验证和并发控制。
确认仓库是否支持并开启 Webhook 功能
主流仓库基本都支持，但入口和配置方式略有不同：
- Docker Hub：进入仓库 Settings → Webhooks → Add Webhook，填入你的服务地址（必须公网可访问）
- Harbor（v2.0+）：项目页 → Webhook → 新建，可选 push、pull、scanning completed 等事件类型，支持自定义 secret
- 阿里云 ACR / 腾讯云 TCR：控制台找“事件通知”或“Webhook”模块，配置目标 URL 和触发条件（如镜像 push）
- 私有 Harbor 或自建 registry：确保已启用 webhook endpoint，网络可达，且版本支持（开源版 Harbor v2.0 起默认开启）
部署端服务要能安全响应请求
你需要一个轻量 HTTP 接口（比如用 Python Flask、Node.js Express 或 Go 编写），重点做三件事：
- 校验签名：Docker Hub 发送 X-Hub-Signature-256 头；Harbor 可配置 secret 并生成 HMAC-SHA256，服务端必须比对，否则直接拒收
- 解析关键字段：从 JSON body 提取 repository.name、push_data.tag、repository.namespace，判断是否是你关心的服务和 tag（例如只处理 latest 或 v[0-9]+ 标签）
- 返回明确状态码：成功返回 200 OK；失败返回 4xx 并带简明错误信息（如 “invalid signature”），方便排查重试
执行部署动作时注意可靠性
收到有效通知后，别直接 docker run —— 要兼顾可用性与安全性：
- 避免停机：纯 Docker 环境推荐用反向代理（如 Nginx）配合健康检查，先启新容器、等就绪再切流量、最后停旧容器
- 防止并发冲突：同一服务短时间内多次 push，可能触发多个 Webhook 并发调用，建议加锁（文件锁、Redis 分布式锁）或进队列串行处理
- 留好回滚路径：部署前记录当前运行容器 ID 或镜像 ID，出错时可快速 docker start 原容器，或用上一版 docker-compose.yml 回退
常见配置示例（以 Harbor 为例）
在 Harbor 项目 Webhook 页面填：
- Name：deploy-myapp
- Target URL：https://your-deploy-service.com/webhook（需 HTTPS + 域名）
- Event Types：勾选 pushImage
- Secret：设一个随机字符串（如 a1b2c3d4），服务端用它验签
- Trigger：可选“立即测试”，看服务是否返回 200
