通过Docker镜像仓库API提取镜像层指纹需三步：1.用指定Accept头获取manifest；2.完成Bearer Token认证；3.解析manifest中layers[].digest字段获得SHA256指纹，具备内容寻址与不可篡改性。
要通过 Docker 镜像仓库 API 自动化提取镜像层指纹，核心是获取 manifest 并从中解析 layers[].digest —— 这些 digest 就是各层的 SHA256 指纹，具备内容寻址、不可篡改、跨仓库可验证等关键特性。
1. 先获取镜像清单（Manifest），指定正确的 Accept 头
直接请求 GET /v2/<name>/manifests/<tag></tag></name> 会失败，除非明确声明期望的清单格式。Registry 要求客户端在请求头中指明 Accept：
- 对 OCI 镜像（推荐）：加
Accept: application/vnd.oci.image.manifest.v1+json - 对传统 Docker 镜像：用
Accept: application/vnd.docker.distribution.manifest.v2+json - 不确定类型时，可合并写：
Accept: application/vnd.oci.image.manifest.v1+json,application/vnd.docker.distribution.manifest.v2+json
2. 完成 Bearer Token 认证流程
大多数私有 Registry（Harbor、ECR、GCR）和 Docker Hub 不接受基础认证。必须走标准令牌流程：
- 首次请求 manifest 返回
401后，从响应头WWW-Authenticate提取realm、service和scope - 向
realm地址发起 GET 请求，带上service和scope参数（如?service=registry.example.com&scope=repository:myapp:pull） - 从返回 JSON 中取出
token字段，后续所有请求使用Authorization: Bearer <token></token>
3. 解析 manifest 获取 layer digest 列表
成功拿到 manifest 后，其 JSON 中 layers 数组每项都含 digest 字段，即该层的唯一指纹：
{
"schemaVersion": 2,
"mediaType": "application/vnd.oci.image.manifest.v1+json",
"layers": [
{
"mediaType": "application/vnd.oci.image.layer.v1.tar+gzip",
"size": 2816979,
"digest": "sha256:abc123...def456"
}
]
}
提取全部 layers[].digest 即可获得所有层指纹。注意：这些值是完整内容哈希，可用于校验层完整性、比对镜像差异、构建 SBOM 或接入安全扫描工具（如 Trivy）。
4. 补充说明：避免误用 tag，优先用 digest 操作
Tag（如 latest）是可变的，不能代表确定内容；而 layer digest 是不可变的内容指纹。自动化脚本中应：
- 用 tag 获取 manifest → 提取 digest → 后续所有操作（拉取层、删除、比对）均基于 digest
- 不依赖
/tags/list接口（多数 Registry 默认禁用或需额外权限） - 如需长期追踪某层，保存其
sha256:xxx值比保存 tag 更可靠
