不能直接靠 docker images 显示的 digest 判断本地镜像和远程仓库是否一致，因为本地 manifest digest 受 registry 实现影响可能不同；应比对各 layer 和 config 的 sha256 digest，它们在所有合规 registry 中保持一致。
不能直接靠 docker images 显示的 DIGEST 判断本地镜像和远程仓库是否一致。因为本地显示的 DIGEST 是本地镜像 manifest 的哈希，而不同仓库对同一镜像生成的 manifest 可能结构不同（比如 schemaVersion、mediaType、甚至 layer 顺序或压缩方式），导致 digest 值不一致——即使镜像内容完全相同。
看镜像层摘要（推荐：最可靠）
镜像的本质是分层（layers）+ 配置（config）。真正决定内容是否一致的是各 layer 的 sha256 digest 和 config blob 的 digest。这些值在所有合规 Registry 中保持一致，不受仓库实现影响。
- 查本地镜像的 layer digest：
docker image inspect <image_id> --format='{{json .RootFS.Layers}}'</image_id>
- 查远程镜像的 layer digest（需 registry 支持 v2 API）：
curl -H "Accept: application/vnd.docker.distribution.manifest.v2+json" \ https://<registry>/v2/<repo>/manifests/<tag></tag></repo></registry>
从返回的 JSON 中提取 layers[].digest 和 config.digest，与本地比对。
- 更便捷的方式（用
skopeo）：
skopeo inspect docker://<registry>/<repo>:<tag> | jq '.Digest, .Layers'</tag></repo></registry>
再用 docker image inspect 提取本地对应字段，逐项比对即可确认内容一致性。
用 manifest 摘要 + 内容校验（进阶）
虽然不同 registry 的 manifest digest 可能不同，但你可以拉取两个 manifest，手动标准化后再哈希比对：
- 标准化操作包括：排序 layers 数组、移除可变字段（如
time,source）、统一换行与空格 - 再用
sha256sum计算哈希，若一致，说明 manifest 描述的内容完全相同
这适合调试或自动化校验脚本，日常验证推荐第一种方式。
通过重新拉取并比对 ID（简单场景适用）
如果网络通畅且镜像不大，可执行：
docker pull <registry>/<repo>:<tag></tag></repo></registry>docker images --digests | grep <repo></repo>- 观察新拉取镜像的 IMAGE ID 是否与本地已有镜像相同
注意：IMAGE ID 是 config blob 的 sha256 哈希（不含 layers），仅当 config 完全一致时才相同；它不能代表整个镜像内容，但可快速排除明显差异（如基础镜像变更、构建参数不同）。
避免依赖 tag 或 latest（关键提醒）
tag 是可变的，latest 尤其危险。同一个 tag 在不同时间指向不同镜像。验证一致性必须基于不可变标识：
- 优先使用 digest 拉取：
docker pull <registry>/<repo>@sha256:xxx...</repo></registry> - 同步时固定使用 digest 而非 tag，例如 Skopeo 复制也支持
@sha256后缀
这样从源头就规避了“同名不同镜像”的问题。
