Docker 镜像 latest 标签导致环境不一致怎么规范版本管理？

Question

仓乃文 · Accepted Answer

Docker 镜像的 latest 标签是一个"移动靶"，它指向的内容会随时间变化。今天拉取的 myapp:latest 和明天拉取的可能是完全不同的版本。这导致开发、测试、生产环境运行的是不同版本的镜像，出现"在我机器上能跑"的经典问题。

问题场景：
```bash
# 开发者 A 今天拉取
docker pull node:latest
# 实际拉取的是 node:18.20.0

# 开发者 B 下周拉取
docker pull node:latest
# 实际拉取的是 node:20.12.0（大版本升级了！）

# 结果：两人的运行环境完全不同，代码行为不一致
```

latest 的本质：
```
- latest 不是"最新稳定版"，只是默认标签
- 推送镜像时不指定标签，默认就是 latest
- latest 指向的版本随时可能变化
- 多次 docker pull node:latest 可能得到不同的镜像
```

规范版本管理：
```bash
# 1. 始终指定明确版本号
docker pull node:18.20.0-alpine
# 而不是
docker pull node:latest

# 2. Dockerfile 中固定基础镜像版本
FROM node:18.20.0-alpine
# 而不是
FROM node:latest

# 3. 使用语义化版本标签
docker tag myapp:1.2.3 registry.example.com/myapp:1.2.3
docker tag myapp:1.2.3 registry.example.com/myapp:1.2     # 兼容标签
docker tag myapp:1.2.3 registry.example.com/myapp:1       # 大版本标签
# 不要推 latest 标签
```

Docker Compose 版本锁定：
```yaml
services:
  app:
    image: myapp:1.2.3        # 精确版本
    # image: myapp:1.2        # 小版本范围
    # image: myapp:latest     # 禁止！
```

CI/CD 中的版本管理：
```bash
# 构建时打 Git Tag 作为镜像版本
VERSION=$(git describe --tags --always)
docker build -t myapp:$VERSION .
docker push myapp:$VERSION

# 部署时指定版本
docker run myapp:v1.2.3
# 而不是
docker run myapp:latest

# 使用镜像摘要（最严格的锁定）
docker pull node@sha256:abc123...
# 即使同名标签被覆盖，摘要不会变
```

补充说明：
- docker image inspect 可查看镜像的完整信息，包括创建时间和摘要
- docker images --digests 可查看镜像的 SHA256 摘要
- 规则：Dockerfile 和 docker-compose.yml 中禁止使用 latest 标签
- 生产环境建议用镜像摘要（SHA256）代替标签，防止镜像被篡改
- 定期更新基础镜像版本（安全补丁），但必须是主动更新而非被动跟随 latest