应弃用MAINTAINER，改用OCI标准LABEL实现全程追溯：在Dockerfile中固化org.opencontainers.image.author等字段，Compose通过带哈希或digest的image字段引用，并联动Git与CI完成闭环。
MAINTAINER 在现代 Docker 中已弃用，Compose 本身不处理镜像元数据，真正支撑全程追溯的是 LABEL —— 它必须在 Dockerfile 构建阶段写入镜像层，并通过 Compose 的 image 字段引用带明确标签的镜像，再配合外部系统串联上下文。
别用 MAINTAINER，改用标准 LABEL 字段
MAINTAINER 指令早在 Docker 1.13+ 就被标记为废弃，它只是 LABEL maintainer=... 的历史别名，且不支持多值、无规范前缀、无法扩展。应统一使用 OCI 推荐的结构化 LABEL：
-
org.opencontainers.image.author：替代 maintainer，推荐填团队邮箱或 Slack 群组（如backend-team@company.com） -
org.opencontainers.image.source：必须为完整 Git 仓库 HTTPS 地址（如https://gitlab.example.com/team/app） -
org.opencontainers.image.revision：构建时传入的 Git 提交哈希（$(git rev-parse --short HEAD)） -
org.opencontainers.image.created：RFC3339 格式时间，由 CI 注入（如2026-05-25T14:32:18Z）
在 Dockerfile 中集中定义 LABEL，禁止运行时注入
LABEL 必须固化在镜像层中，才能随镜像分发、迁移、审计。不要在 docker run 或 Compose 的 environment 中“打补丁”。正确做法是在 Dockerfile 顶部或构建逻辑后统一声明：
# Dockerfile 示例 ARG GIT_COMMIT ARG BUILD_TIME ARG SOURCE_REPO <p>LABEL org.opencontainers.image.source="$SOURCE_REPO" \ org.opencontainers.image.revision="$GIT_COMMIT" \ org.opencontainers.image.created="$BUILD_TIME" \ org.opencontainers.image.author="devops@company.com" \ org.opencontainers.image.version="v1.8.3"
构建命令同步传参：
docker build \ --build-arg GIT_COMMIT=$(git rev-parse HEAD) \ --build-arg BUILD_TIME=$(date -u +%Y-%m-%dT%H:%M:%SZ) \ --build-arg SOURCE_REPO=https://github.com/company/app \ -t registry.company.com/app:v1.8.3-abc123f .
Compose 中引用需带可追溯标识的镜像
docker-compose.yml 不解析 LABEL，但它决定部署哪个镜像。要实现追溯，image 字段必须使用含上下文的标签，而非 latest：
- ✅ 推荐：用 Git 短哈希或语义化版本 + 时间戳，如
image: registry.company.com/app:v1.8.3-abc123f - ✅ 更优：用 digest 引用（不可变），如
image: registry.company.com/app@sha256:deadbeef... - ❌ 避免：
image: app:latest—— latest 可被覆盖，失去锚点意义
示例片段：
services:
api:
image: registry.company.com/app:v1.8.3-abc123f
# 不要加 environment: { MAINTAINER: ... } —— 这不会写入镜像，也无助于追溯
靠外部系统闭环：从 Compose 实例反查到代码与流水线
当线上容器出问题，仅靠 Compose 文件不够。需建立三方联动：
- 从容器获取镜像 ID：
docker ps --filter "name=api" --format "{{.ImageID}}" - 查镜像 LABEL：
docker inspect <id> -f '{{.Config.Labels}}'→ 提取source和revision - 跳转 Git：拼接
${source}/commit/${revision}直达变更页 - 关联 CI：用
com.example.build-id（如build-id: pipeline-7892）查 Jenkins/GitLab CI 日志、扫描报告、人工审批记录
这个闭环不在 Compose 内完成，但 Compose 是触发点——它让带完整 LABEL 的镜像落地为真实运行实例。
