校验 docker 镜像推送与拉取完整性需分阶段多维验证：推送前记录权威 digest 和各层 diffid；拉取后比对 digest、layer 数量及 diffid 是否一致；离线迁移时还需手动校验 tar 包内 layer 内容哈希与 diffid 匹配，并辅以传输层 sha256sum 防截断。
校验 docker 镜像推送与拉取过程中层数据的完整性，核心是验证每层内容在传输前后是否一致、未被篡改或截断。这不能只靠“能拉下来就完事”，而要分阶段、多维度比对哈希值与结构信息。
推送前：记录原始镜像的权威摘要
本地镜像的 digest（即 @sha256:xxx）是其不可篡改的身份标识，由 manifest 和各层 diffID 共同计算得出。必须在推送前获取并存档：
- 运行 docker inspect myapp:v1 --format='{{.RepoDigests}}' 查看是否已有 digest；若为空，说明该镜像尚未从 registry 拉取过，需先用 docker push 推送一次生成 digest，或手动计算：
→ 提取 manifest：docker save myapp:v1 -o - | tar -xO manifest.json
→ 对 manifest 内容做 sha256sum，即为 digest 值 - 同时保存各层的 diffID（内容指纹）：docker image inspect myapp:v1 --format='{{json .RootFS.DiffIDs}}'
- 这些值应作为可信基准写入 CI 日志或签名文件，后续所有校验都以此为准
拉取后：比对 digest 与 layer 层级一致性
成功执行 docker pull registry.example.com/myapp:v1 后，立即验证：
- 检查拉取到的镜像是否带预期 digest：docker images --digests | grep myapp，确认输出中包含与推送前完全一致的 @sha256:xxx
- 对比 layer 数量是否匹配：docker image inspect registry.example.com/myapp:v1 --format='{{len .RootFS.Layers}}' 应等于原始镜像的层数
- 逐层验证 diffID：docker image inspect registry.example.com/myapp:v1 --format='{{json .RootFS.DiffIDs}}' 输出应与推送前完全相同
离线环境或高安全场景：手动校验 tar 归档中的 layer 内容
若通过 docker save / load 中转（如离线迁移），需额外验证 tar 包内 layer 的真实性：
- 解压 tar 并定位 layer 文件：tar -tf myapp.tar | grep '\.tar$' | grep -v '^[a-f0-9]\{64\}\.tar$'（排除非 layer 的 tar）
- 提取 manifest 中的 layer 列表：tar -xO myapp.tar manifest.json 2>/dev/null | jq -r '.[0].Layers[]'
- 对每个 layer hash（如 sha256:abc...tar），用 tar -xO myapp.tar abc...tar | sha256sum 计算内容哈希，应与对应 diffID 一致
- 不一致说明该层在打包、传输或解压过程中已被损坏或替换
网络传输层补充校验：防止丢包或截断
尤其在不稳定链路上传输大 tar 包时，建议附加传输层校验：
- 导出时同步生成校验文件：docker save -o app.tar myapp:v1 && sha256sum app.tar > app.tar.sha256
- 拉取端收到后运行：sha256sum -c app.tar.sha256，返回 OK 才继续 docker load
- 若用 skopeo 等工具跨 registry 同步，它默认启用 chunked 传输与 digest 校验，无需额外操作
