在CI/CD流水线中防止测试镜像撑爆私有云，关键是将清理设为固定环节：每次任务结束时执行docker system prune -f --volumes --filter "until=30m"，并配合标签筛选、--rm、--no-cache等源头控制及每日定时兜底与阈值告警。
在CI/CD流水线中防止测试镜像撑爆私有云，关键不是“等满了再清”，而是让清理动作成为构建流程的固定环节——即每次任务结束时自动、精准、无残留地释放资源。
明确清理范围：不止是容器，更要清镜像、卷、网络和构建缓存
一个典型测试任务会留下四类残留：
- 已退出容器（exited状态但未删除）
- 中间镜像与悬空镜像（dangling images，无标签且未被引用）
-
匿名卷与挂载卷（尤其用
--volume或-v临时挂载时） - 构建缓存层（docker builder cache，常占数GB却容易被忽略）
只运行docker container prune -f远远不够。推荐在流水线末尾统一执行：
docker system prune -f --volumes --filter "until=30m"
这个命令会清理30分钟内未使用的容器、网络、镜像、卷和构建缓存，不干扰正在运行的任务，又避免“越积越多”。
按标签策略自动过滤旧镜像，保留必要版本
测试环境不需要保留所有历史标签。可结合docker images与sort/head做轻量级筛选。例如，只留最近5个test-*标签镜像：
docker images 'myapp:test-*' --format '{{.Repository}}:{{.Tag}}' | sort -r | tail -n +6 | xargs -r docker rmi若使用 Harbor 或支持 Registry API 的私有仓库，还可调用/v2/<repo>/tags/list获取全部标签，按时间戳或语义版本排序后批量删除——避免本地拉取再删，节省带宽和时间。
从源头控制：用--rm和build --no-cache减少生成量
不是所有镜像都必须保留。对纯测试用途的构建，启用以下习惯能大幅降低冗余：
- 运行容器时加
--rm：容器退出后立即删除，不留exited记录 - 构建时不打永久标签，改用临时标签如
test-${CI_JOB_ID}，便于后续按ID批量清理 - 非必要不复用构建缓存（
--no-cache），尤其在频繁变更基础依赖的测试阶段，避免缓存层膨胀反拖慢构建
定时兜底+告警：给自动化加一层保险
即使每条流水线都清理，仍可能因失败跳过、脚本异常等原因遗漏。建议在私有云节点上配置每日定时任务：
0 3 * * * /usr/bin/docker system prune -a -f --volumes 2>/dev/null
同时监控docker system df -v输出中的Build Cache和Images占用，当镜像层总大小超过阈值（如80GB）时触发企业微信或邮件告警——早发现，早干预。
