镜像一旦多起来，"仓库"本身就成了需要管理的资产：谁在拉哪些镜像、哪些镜像有高危漏洞、镜像仓库是公网开放还是只给内网、版本保留策略（磁盘被占满/垃圾镜像堆积）。Harbor 是自托管最成熟的镜像仓库方案（对企业级/多项目/合规场景尤其合适），它在一个仓库上提供...

自托管要从"手工 build 镜像 + 到处复制的镜像文件"升级到"代码一推就自动出镜像、还能上安全扫描与签名"，就得把"镜像构建"纳入一条可复现、可审计的流水线（CI）。CI 里构建镜像这块的常见坑：Dockerfile 写得不分层、缓存利用不佳导致构建又慢...

很多人对容器的安全有个朴素又危险的假定："装了 Docker、容器有隔离，就安全了。"实际上，容器与宿主共享内核，隔离是"相对但不绝对"的——默认配置下容器往往以 root 用户运行、带一堆默认权限、其镜像可能藏着一层又一层过时的依赖，一旦被攻破可能殃及宿主机...