watchtower 是一款轻量级 docker 容器自动更新工具，通过定期轮询镜像仓库检查更新，自动拉取新镜像并以原配置重启容器，支持定时策略、清理旧镜像及多渠道通知，适用于开发与 homelab 场景。
要让本地已有的 Docker 基础镜像自动同步更新，核心不是“后台常驻监听”，而是建立一套可靠、可触发、低干预的更新机制。Docker 本身不提供原生的实时轮询或自动拉取服务，但可以通过组合命令、工具或脚本实现接近“自动同步”的效果。
用 docker pull + 定时任务定期刷新
这是最轻量、最可控的方式，适合大多数开发和中小规模生产环境。
- 运行
docker pull nginx:latest或docker pull python:3.12-slim等基础镜像命令，会检查远程仓库是否有新层；如果有，就下载并覆盖本地同标签镜像（注意：:latest不是版本号，它可能指向不同内容） - 把这类命令写成 shell 脚本，例如
update-base-images.sh，列出你常用的基础镜像 - 用系统级定时器调度：Linux 上用
crontab，比如每天凌晨 3 点执行一次：0 3 * * * /path/to/update-base-images.sh >/dev/null 2>&1 - 脚本里建议加
-q（静默模式）和错误判断，避免失败时静默跳过
借助 watchtower 实现容器级自动更新
如果你的容器是基于这些基础镜像运行的，watchtower 可以在容器运行时帮你“顺带”更新底层镜像。
- 启动 watchtower 容器，加上
--interval 3600（每小时检查一次）和--include-restartable参数 - 为需要自动更新的业务容器添加 label：
com.centurylinklabs.watchtower.enable=true - watchtower 会定期调用
docker pull拉取对应镜像的新版本，对比本地 ID，发现变化后停旧启新，保留卷、端口、网络等配置 - 注意：它只更新正在运行且打了启用 label 的容器所用的镜像，不会无差别刷所有本地镜像
用 renovate 或 dependabot 管理镜像标签版本
适用于使用 docker-compose.yml 或 Kubernetes 清单的项目，从源头控制“该用哪个版本”。
- 在
docker-compose.yml中避免硬写:latest，改用语义化标签如redis:7.2.5或node:20.15.0 - 接入 Renovate Bot（GitHub/GitLab），配置它扫描 YAML 文件中的
image:字段 - Bot 检测到上游镜像发布新版本后，自动提 PR 更新标签，并可配置自动合并 + 触发 CI 流水线重建/部署
- 这种方式不直接更新本地镜像缓存，但能确保每次构建或部署都拉取明确版本，规避
:latest的不确定性
构建时强制刷新基础层（CI/CD 场景）
如果你通过 docker build 构建自定义镜像，可在构建阶段主动拉取最新基础镜像。
- 在 Dockerfile 开头加
FROM --platform=linux/amd64 ubuntu:24.04，确保平台一致 - CI 流水线中，在
docker build前插入docker pull ubuntu:24.04，防止复用旧缓存 - 使用 BuildKit 时，启用
DOCKER_BUILDKIT=1并加--no-cache或--pull参数，强制检查基础镜像更新 - 这样每次构建都基于当前最新的基础镜像，相当于“按需同步”，而非后台常驻
