skopeo inspect 详解不拉取镜像即可获取远程容器镜像底层信息的权威指南【免费下载链接】skopeoWork with remote images registries - retrieving information, images, signing content项目地址: https://gitcode.com/GitHub_Trending/sk/skopeo导读skopeo inspect是 skopeo 命令行工具中最常用的子命令之一用于直接读取远端镜像仓库中某个镜像的底层low-level信息而无需像docker pull那样将整个镜像下载到本地从而大幅节省网络带宽与本地存储。本文以官方手册 docs/skopeo-inspect.1.md 为骨架结合仓库中的 cmd/skopeo/inspect.go 源码实现、cmd/skopeo/inspect/output.go 输出结构体以及 systemtest/010-inspect.bats 集成测试完整讲解命令语法、全部选项、输出字段含义、Go 模板格式化与常见实战用法。读完本文你将掌握如何快速查询镜像的标签列表、Digest、架构、环境变量与层信息以及如何通过--config、--raw、--format等选项深度挖掘镜像元数据。命令概述一条命令获取镜像的“体检报告”命令语法skopeo inspect [options] IMAGE-NAMEskopeo inspect返回的是image-name所指向镜像的底层信息。这里的image-name采用transport:details的统一格式完整格式说明见 skopeo(1) 的 “IMAGE NAMES” 一节。常用的传输方式transport包括docker://— 实现了 Docker Registry HTTP API V2 的镜像仓库中的镜像dir:— 本地目录以单个文件形式存放 manifest、层压缩包与签名docker-daemon:— Docker 守护进程内部存储中的镜像docker-archive:—docker save格式的归档文件oci:/oci-archive:— 符合 OCI Image Layout 规范的目录或 tar 归档containers-storage:— 本地 containers/storage 镜像存储Podman、CRI-O、Buildah 的后端。默认输出的数据来源从官方手册与 cmd/skopeo/inspect.go 的run()实现可以确认默认输出聚合了多路数据源Name来自用户输入解析后的镜像仓库名DockerReference().Name()RepoTags来自远程仓库的标签列表仅对docker://transport 生效Digest顶层 manifest 的摘要值其余字段Created、Architecture、Os、Layers、Env 等来自与当前运行环境匹配的某个架构/操作系统镜像。因此如果目标镜像是一个多架构 manifest list如docker://docker.io/fedora默认展示的是与当前机器 os/arch 匹配的那个平台实例的信息如需查看其他平台请使用全局选项--override-os/--override-arch见 skopeo(1) 的 OPTIONS 一节。这也正是 systemtest/010-inspect.bats 中 image manifest list w/ diff platform 测试所验证的行为对不匹配当前平台的镜像不带--raw的 inspect 会失败而--raw可以正常输出原始 manifest。输出字段详解skopeo inspect的默认输出是 JSON。输出字段由 cmd/skopeo/inspect/output.go 中的inspect.Output结构体定义各字段含义如下字段类型说明Namestring解析后的镜像仓库全名例如docker.io/library/fedorajson:,omitempty可能为空Tagstring镜像标签json:,omitempty可能为空Digestdigest.Digest顶层 manifest 的摘要值默认算法与 config digest 一致RepoTags[]string同一仓库中可用的全部标签--no-tags时为[]Created*time.Time镜像创建时间DockerVersionstring构建镜像所用 Docker 版本Labelsmap[string]string镜像标签Label键值对Architecturestring镜像目标 CPU 架构如amd64Osstring镜像目标操作系统如linuxLayers[]string层摘要Digest列表LayersData[]ImageInspectLayer每层的详细信息MIMEType、Digest、Size、AnnotationsEnv[]string镜像的默认环境变量列表其中LayersData的每一条记录包含MIMEType层压缩格式如application/vnd.docker.image.rootfs.diff.tar.gzip、Digest、Size字节数以及可选的Annotations。全部选项Options逐一说明以下选项在子命令名称之后使用子命令名称之前还有全局选项见 skopeo(1)。认证与访问控制--authfilepath主 registry 凭据文件路径。在 Linux 上默认值为${XDG_RUNTIME_DIR}/containers/auth.json凭据搜索机制及其他平台的默认值详见containers-auth.json(5)手册。该选项的默认值读取自REGISTRY_AUTH_FILE环境变量源码见 cmd/skopeo/utils.go 中fs.StringVar(opts.authFilePath, authfile, os.Getenv(REGISTRY_AUTH_FILE), ...)。凭据通常使用skopeo login命令管理参见 skopeo-login(1)。--credsusername[:password]访问仓库所用的用户名与密码。与--no-creds、--username互斥——源码 cmd/skopeo/utils.go 会在newSystemContext()中校验冲突组合例如同时指定--creds与--no-creds会直接报错同时指定--username与--password中的单个也会报错“password must be specified when username is specified” 等。--username/--password访问仓库的用户名与密码二者必须成对出现源码强制校验。--no-creds匿名访问仓库。等价于把认证配置置空源码中ctx.DockerAuthConfig types.DockerAuthConfig{}。--registry-tokenBearer token访问仓库时直接作为 Bearer token 使用的令牌源码中写入ctx.DockerBearerRegistryToken。连接与 TLS--cert-dirpath使用path目录下的证书*.crt、*.cert、*.key连接仓库或守护进程。对应源码 cmd/skopeo/utils.go 的--cert-dir定义及 cmd/skopeo/utils.go 中写入ctx.DockerCertPath/ctx.DockerDaemonCertPath的处理。在 systemtest/030-local-registry-tls.bats 中有与--cert-dir配合的 TLS 测试用例。--daemon-hosthostDocker 守护进程地址仅docker-daemon:transport 生效写入ctx.DockerDaemonHost。--tls-verifybool是否要求 HTTPS 并验证证书。默认取 registry.conf 配置。源码层面这是一个OptionalBool未显式指定时保持默认显式指定后取反写入DockerInsecureSkipTLSVerify见 cmd/skopeo/utils.go。在 systemtest/040-local-registry-auth.bats 中大量使用--tls-verifyfalse访问本地localhost:5000测试仓库。输出控制--config以 OCI 格式输出配置信息默认输出为 JSON 格式。从源码 cmd/skopeo/inspect.go 看--config会调用img.OCIConfig(ctx)获取 OCI 格式配置*v1.Image再走统一的输出通道而--config --raw组合则直接输出未经解析的原始 config blobimg.ConfigBlob(ctx)。--raw输出原始rawmanifest 或 config 数据具体取决于是否同时使用--config。注意--raw与--format互斥——源码 cmd/skopeo/inspect.go 在参数校验阶段就会拒绝 “raw output does not support format option” 的组合。不带--config时--raw直接把unparsedInstance.Manifest(ctx)取得的原始 manifest 字节流写到标准输出cmd/skopeo/inspect.go因此它也能显示多架构 manifest list 的完整原始内容。--format,-fformat用给定的 Go 模板格式化输出。返回 JSON 的键名可以直接作为--format的值使用见下方示例。支持 containers/common 的 report 包 提供的全部 Go 模板函数本仓库实际使用go.podman.io/common/pkg/report见 cmd/skopeo/inspect.go。源码实现 cmd/skopeo/inspect.go 中report.IsJSON(opts.format)或格式为空时输出带 4 空格缩进的 JSON否则交给report.New(...).Parse(...)解析用户模板并执行。--no-tags,-n不在输出中列出仓库可用标签。为true时RepoTags数组为空默认false列出全部标签。对应 cmd/skopeo/inspect.go 的--no-tags布尔选项systemtest/010-inspect.bats 中 inspect: dont list tags 用例断言了--no-tags输出RepoTags[]为空。--manifest-digestalgorithmEXPERIMENTAL实验性计算 manifest digest 所用的算法sha256、sha512默认跟随 config digest 使用的算法。注意该选项为实验特性行为可能在后续版本变化。源码 cmd/skopeo/inspect.go 的manifestDigestFromManifest()展示了完整的算法选择优先级用户显式指定算法 → config digest 的算法 → 默认算法同时会校验算法是否Available()不支持时会报 “digest algorithm %q is not available”。重试与杂项--retry-times重试次数。默认 0即不重试。定义于 cmd/skopeo/utils.go。--retry-delay两次重试之间的固定延迟。若未设置或设为0s重试等待时间会根据失败次数指数递增指数退避。定义于 cmd/skopeo/utils.go默认0s。这两个重试选项在inspect的源码中作用于三个关键网络操作解析镜像源、拉取 manifest、读取配置/执行 Inspect见 cmd/skopeo/inspect.go 的retry.IfNecessary包装。--retry-times与--retry-delay同样是 copy、delete、sync 等命令的共享选项。--shared-blob-dirdirectory用于在多个 OCI 仓库之间共享 blob 的目录写入ctx.OCISharedBlobDirPath仅对 OCI 相关操作有意义。--help,-h打印用法说明。实战示例从入门到进阶示例一查看 docker.io 上的 fedora 镜像信息$ skopeo inspect docker://docker.io/fedora { Name: docker.io/library/fedora, Digest: sha256:f99efcddc4dd6736d8a88cc1ab6722098ec1d77dbf7aed9a7a514fc997ca08e0, RepoTags: [ 20, 21, ... ], Created: 2022-11-16T07:26:42.618327645Z, DockerVersion: 20.10.12, Labels: { maintainer: Clement Verna cvernafedoraproject.org }, Architecture: amd64, Os: linux, Layers: [ sha256:cb8b1ed77979b894115a983f391465651aa7eb3edd036be4b508eea47271eb93 ], LayersData: [ { MIMEType: application/vnd.docker.image.rootfs.diff.tar.gzip, Digest: sha256:cb8b1ed77979b894115a983f391465651aa7eb3edd036be4b508eea47271eb93, Size: 65990920, Annotations: null } ], Env: [ PATH/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin, DISTTAGf37container, FGCf37, FBRf37 ] }可以看到RepoTags给出了该仓库当前全部可用标签LayersData给出了每个层的媒体类型、摘要与大小——这是docker inspect无法在不拉取镜像的情况下提供的信息。示例二不显示标签列表当镜像仓库标签极多、或你只关心镜像本身属性时用--no-tags等价-n跳过标签枚举$ skopeo inspect --no-tags docker://docker.io/library/python { Name: docker.io/library/python, Digest: sha256:10fc14aa6ae69f69e4c953cffd9b0964843d8c163950491d2138af891377bc1d, RepoTags: [], Created: 2022-11-16T06:55:28.566254104Z, DockerVersion: 20.10.12, Labels: null, Architecture: amd64, Os: linux, Layers: [ sha256:a8ca11554fce00d9177da2d76307bdc06df7faeb84529755c648ac4886192ed1, sha256:e4e46864aba2e62ba7c75965e4aa33ec856ee1b1074dda6b478101c577b63abd, ... ], LayersData: [ { MIMEType: application/vnd.docker.image.rootfs.diff.tar.gzip, Digest: sha256:a8ca11554fce00d9177da2d76307bdc06df7faeb84529755c648ac4886192ed1, Size: 55038615, Annotations: null }, { MIMEType: application/vnd.docker.image.rootfs.diff.tar.gzip, Digest: sha256:e4e46864aba2e62ba7c75965e4aa33ec856ee1b1074dda6b478101c577b63abd, Size: 5164893, Annotations: null }, ... ], Env: [ PATH/usr/local/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin, LANGC.UTF-8, ... ] }示例三Go 模板提取单一字段--format允许把输出裁剪成一行所需字段非常适合脚本化处理。模板的键名与默认 JSON 输出的字段名一一对应$ /bin/skopeo inspect --config docker://registry.fedoraproject.org/fedora --format {{ .Architecture }} amd64$ /bin/skopeo inspect --format {{ .Env }} docker://registry.access.redhat.com/ubi8 [PATH/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin containeroci]在 systemtest/020-copy.bats 中也有skopeo inspect $localimg --format {{.Architecture}}的用法说明该模式被广泛用于断言镜像属性。示例四指定算法计算 manifest digest实验特性$ skopeo inspect --manifest-digestsha512 docker://docker.io/library/alpine:latest --format Digest: {{.Digest}} Digest: sha512:5acb33fb56a7791bf0c69d5b19a1c70272148e4107be5261d57305d14e9509792bbca53e5277c456181ecfa1c20ad8427f9b8ba46868020584a819de1128dbd2通过--manifest-digestsha512可以得到与默认 sha256 不同的摘要值适用于需要以 sha512 为准的合规或互操作场景。源码级原理inspect 的执行链路从 cmd/skopeo/inspect.go 的inspectOptions.run()可以看到skopeo inspect的完整执行链路参数校验要求恰好一个位置参数Exactly one argument expected拒绝--raw与--format同时使用。构造 SystemContextopts.image.newSystemContext()汇总全局选项与镜像相关选项认证、TLS、证书目录、shared blob 目录等并完成互斥校验见 cmd/skopeo/utils.go。解析镜像源parseImageSource()按 transport 解析image-name整个解析过程被retry.IfNecessary包裹。获取原始 manifest通过image.UnparsedInstance(src, nil).Manifest(ctx)取得 manifest 字节流--raw不带--config时直接原样输出并结束。解析镜像对象image.FromUnparsedImage()把 manifest 解析为types.Image实例。分派输出--config --raw输出原始 config blob--config输出 OCI 格式配置对象默认调用img.Inspect(ctx)得到*types.ImageInspectInfo组装进 cmd/skopeo/inspect/output.go 的Output结构体。计算 DigestmanifestDigestFromManifest()依据--manifest-digest→ config digest 算法 → 默认算法的顺序计算 manifest 摘要。枚举标签仅当目标是docker.Transport且未指定--no-tags时调用docker.GetRepositoryTags()拉取仓库全部标签。源码对“仓库禁用标签列表接口”做了优雅降级AWS ECR 拒绝ecr:ListImages返回 Denied或 public.ecr.aws 未实现该接口返回 404时仅打印Registry disallows tag list retrieval; skipping警告inspect 仍正常完成。输出writeOutput()根据--format决定走 JSON 缩进输出还是 Go 模板渲染。标签枚举的容错设计值得借鉴源码 cmd/skopeo/inspect.go 中对标签接口失败的处理非常细致RepoTags的获取失败默认视为致命错误但遇到errcode.ErrorCodeDenied如 AWS ECR 未授权ecr:ListImages或 404如public.ecr.aws未实现该端点时会降级为警告并继续输出其余字段。这意味着即使某些云端仓库限制标签查询skopeo inspect依然能返回有效的镜像元数据。与相关命令的协作skopeo inspect通常与以下命令/文件配合使用skopeo login / logout管理 registry 凭据供--authfile与默认凭据搜索机制使用参见 skopeo-login(1) 与 skopeo-logout(1)skopeo list-tags当只需列出标签、不关心镜像其他信息时比inspect更轻量参见 skopeo-list-tags(1)skopeo manifest-digest单独计算 manifest 摘要的工具参见 skopeo-manifest-digest(1)containers-auth.json(5)凭据文件格式与搜索机制的权威说明skopeo copy / syncinspect 确认镜像元数据后可以进一步用 copy 或 sync 进行搬运参见 skopeo-copy(1) 与 skopeo-sync(1)。常见问题与注意事项为什么 inspect 的结果与机器架构不符默认只展示与当前运行时环境匹配的平台实例查看其他平台需配合全局选项--override-os、--override-arch、--override-variant见 skopeo(1)或直接使用--raw查看完整 manifest list。为什么某些仓库的RepoTags为空或失败部分云仓库如 AWS ECR、public.ecr.aws限制或未实现标签列表接口此时要么使用--no-tags跳过要么接受降级后的警告输出。--raw为什么不能配--format因为--raw输出的是未经解析的原始字节流不存在可供模板遍历的结构化对象源码对此组合显式报错。--manifest-digest是实验特性算法与行为可能在后续版本调整用于生产前应评估兼容性。退出码约定skopeo成功时退出码为 0出错时为非零输入镜像无法找到时返回退出码 2远端仓库场景下为尽力而为见 skopeo(1) 的 EXIT STATUS 一节。systemtest/010-inspect.bats 中run_skopeo 2 inspect containers-storage:non-existing-tag正是对该行为的验证。认证冲突--creds、--username/--password、--no-creds之间的非法组合会在执行前被源码直接拒绝报错信息明确可放心使用。延伸阅读主命令手册与全局选项skopeo(1)inspect 输出结构体定义cmd/skopeo/inspect/output.goinspect 命令源码实现cmd/skopeo/inspect.go共享图像选项authfile、creds、tls-verify 等的 flag 定义与校验逻辑cmd/skopeo/utils.go系统级集成测试systemtest/010-inspect.bats凭据管理skopeo-login(1)、skopeo-logout(1)【免费下载链接】skopeoWork with remote images registries - retrieving information, images, signing content项目地址: https://gitcode.com/GitHub_Trending/sk/skopeo创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考