docker客户端默认只信任https仓库，需配置insecure-registries白名单以支持http私有仓库；编辑daemon.json添加ip:port格式地址（如"192.168.1.100:5000"），linux执行systemctl restart docker，mac/windows通过docker desktop的docker engine设置并点击apply & restart。
这个问题很常见，核心是 Docker 客户端默认只认 HTTPS，而你的私有仓库（比如 Harbor、Nexus 或自建 registry）跑在 HTTP 上——两边协议对不上，自然报错 http: server gave HTTP response to HTTPS client。解决思路很明确：让 Docker 明确知道“这个地址可以走 HTTP”，而不是强行升级成 HTTPS。
配置 insecure-registries（最常用、推荐）
这是官方支持的正式方式，适用于所有平台（Linux/macOS/Windows Docker Desktop），本质是把 HTTP 仓库地址加入白名单。
- 编辑或创建
/etc/docker/daemon.json（Linux/macOS）或通过 Docker Desktop 图形界面（Win/Mac）进入 Settings → Docker Engine - 添加你要信任的仓库地址，例如：
{"insecure-registries": ["192.168.1.100:5000", "harbor.internal"]}
注意：不要带http://前缀，只写域名或 IP + 端口 - 保存后重启 Docker 服务：
Linux：运行sudo systemctl restart docker
macOS/Windows：在 Docker Desktop 中点击 “Apply & Restart”
确认仓库地址格式和端口是否正确
很多失败其实卡在细节上：
- 如果仓库监听的是非标准端口（比如
:8080或:5000），必须写全，如"my-registry:5000"；只写"my-registry"会被默认当成https://my-registry:443 - 用 IP 访问时，确保该 IP 能被客户端直接路由（不是容器内网 IP 或 localhost）
- Docker Desktop for Mac/Win 用户要注意：localhost 指向的是宿主机，但
host.docker.internal才能从容器里访问宿主服务；而insecure-registries配置中的地址，是给 Docker 守护进程用的，所以填host.docker.internal:5000是无效的，应填宿主机真实局域网 IP
临时调试可用命令行参数（不建议长期使用）
适合快速验证，或 CI/CD 流水线中单次任务绕过检查：
- 加
--insecure-registry参数启动 dockerd（需配合自定义服务配置，较麻烦） - 更实用的是在
docker pull时配合已配置好的 daemon.json 使用，本身不支持运行时传 insecure 参数；真正能临时生效的是提前设置好环境变量再启动 Docker，但不如改 daemon.json 稳定 - 注意：Docker CLI 命令本身（如
docker pull）没有--insecure-registry这个选项，它属于守护进程级配置，不能靠单条命令覆盖
别忽略代理和反向代理的影响
如果你的 HTTP 仓库前面挂了 Nginx、Traefik 或其他代理，容易引发隐性协议错乱：
- 代理转发时没透传原始协议头（如
X-Forwarded-Proto: http），可能导致仓库返回的 URL 仍是 HTTPS，触发二次错误 - 检查代理配置中是否设置了
proxy_set_header X-Forwarded-Proto $scheme;和proxy_set_header Host $http_host; - 浏览器能打开
http://xxx/v2/返回 JSON，并不代表 Docker 就能通——Docker 会做额外的重定向和认证握手，对响应头更敏感
