发布 docker 镜像需四步：构建镜像（用 dockerfile 多阶段构建优化体积）、打标签（按仓库地址格式重命名，禁用 latest）、登录仓库（配置认证及私有仓库信任）、推送验证（push 后 pull 并 run 测试）。
把 Docker 镜像发布出去，核心就四步：构建镜像、打标签、登录仓库、推送上去。整个过程不复杂，但每一步的细节容易出错，尤其在团队协作或生产环境里。
构建镜像：用 Dockerfile 定义运行环境
先写好 Dockerfile，明确基础镜像、依赖安装、代码复制、启动命令等。推荐用多阶段构建——比如 Go 项目先用 golang 镜像编译，再把二进制文件拷到 alpine 镜像里，最终镜像体积能压到 10MB 以内。
- 确保 Dockerfile 放在项目根目录，执行 docker build -t myapp:v1.2.0 . 构建
- 构建前清理缓存可加 --no-cache；调试时可用 -f Dockerfile.dev 指定不同构建文件
- 构建成功后用 docker images | grep myapp 确认镜像存在
打标签：让镜像带上传目标和版本信息
本地镜像名默认不带仓库地址，推送前必须重命名成“仓库地址/用户名/镜像名:标签”格式。Docker Hub 是 username/myapp:v1.2.0，阿里云是 registry.cn-hangzhou.aliyuncs.com/namespace/myapp:v1.2.0。
- 用 docker tag myapp:v1.2.0 username/myapp:v1.2.0 打标
- 生产环境别用 latest，优先用语义化版本（v1.2.0）或 Git 提交哈希（git-abc123）
- 同一个镜像可以打多个标签，比如同时推 v1.2.0 和 v1.2
登录镜像仓库：认证是推送的前提
公有仓库如 Docker Hub 或阿里云，需提前注册账号；私有仓库如 Harbor，要确认地址、端口、TLS 配置是否正确。
- 执行 docker login，按提示输入用户名密码（Docker Hub 支持 token 登录更安全）
- 私有仓库首次登录可能报 insecure registry 错误，需在 daemon.json 中配置 "insecure-registries" 并重启 docker 服务
- 登录凭证默认存 ~/.docker/config.json，敏感环境下建议用 credHelpers 集成公司 SSO
推送与验证：上传完成还要确认可用
推送命令就是 docker push username/myapp:v1.2.0。网络稳定时几分钟就能传完，大镜像建议开压缩（部分私有仓库支持）。
- 推送成功后，去仓库 Web 页面查一下镜像层、大小、创建时间是否匹配
- 换一台没拉过该镜像的机器，执行 docker pull username/myapp:v1.2.0 测试能否正常拉取
- 顺手跑一次 docker run --rm username/myapp:v1.2.0，看容器是否能健康启动
