应显式指定镜像tag（如nginx:1.25.3）或digest（如nginx@sha256:...）拉取，避免latest不确定性；跨架构需加--platform参数；优先选官方镜像并配置加速器提升拉取效率。
直接用 docker pull 加镜像名和明确标签即可拉取指定版本，不用依赖 latest，避免因标签被覆盖导致环境不一致。
显式指定 TAG 拉取稳定版本
镜像标签（TAG）代表具体版本，例如 nginx:1.25.3、python:3.11-slim、ubuntu:22.04。不写 TAG 时 Docker 默认补上 :latest，但这个标签可能随时更新，两次拉取结果不同。
- 推荐始终写出完整标签：如
docker pull redis:7.2.5 - 去 Docker Hub 搜索镜像 → 进入详情页 → 点击 Tags 标签页，查看所有可用版本、架构、大小和更新时间
- 优先选带 OFFICIAL 标识的官方镜像，更可靠
用 DIGEST 确保内容完全一致
DIGEST 是镜像内容生成的唯一 SHA256 哈希值，比 TAG 更精确，能防止镜像被篡改或覆盖后仍被误用。
- 在 Docker Hub 的 Tags 页面，每行右侧有
sha256:xxxx字样，复制整段 DIGEST - 命令格式为：
docker pull nginx@sha256:a1e0ff703bd9c6361476c89834fd1d0ed520e1b8fd9c1e25affa52e0a4a84706 - 适用于 CI/CD 流水线、安全审计等对一致性要求高的场景
拉取跨架构镜像（如 ARM64）
默认拉取的是宿主机匹配的架构，若需在 x86 机器上拉 arm64 镜像，必须加 --platform 参数。
- 确认是否支持多架构：
docker manifest inspect ubuntu:22.04 | jq '.manifests[] | {platform: .platform, digest: .digest}' - 拉取 ARM64 版本：
docker pull --platform linux/arm64 ubuntu:22.04 - 拉取 AMD64 版本：
docker pull --platform linux/amd64 nginx:alpine - 拉完后验证：
docker inspect ubuntu:22.04 | jq '.[0].Architecture'，返回"arm64"或"amd64"才算成功
验证与常见问题
拉取完成后建议快速验证是否成功、是否符合预期。
- 查看本地镜像：
docker images | grep ubuntu，检查 NAME、TAG、IMAGE ID 和 SIZE - 国内用户若遇到慢或超时，可配置镜像加速器（如阿里云、中科大源），不影响命令写法
- 私有仓库需先执行
docker login registry.example.com再拉取，格式为：docker pull registry.example.com/myapp:v1
