docker pull 默认不强制更新，需先删旧镜像再拉新版本以实现“强制更新”；应避免依赖 :latest，优先使用语义化版本标签（如 nginx:1.25.5），并可通过 --platform 或 @digest 提升确定性。
直接用 docker pull 默认不会“强制更新”——它只在本地没有该镜像或对应标签时才拉取，已有则跳过。所谓“强制拉取最新发布版”，本质是绕过本地缓存、确保拿到远程仓库当前最新的那个 tagged 镜像（不是 latest 的随意覆盖，而是明确指向已发布的稳定版本）。关键不在命令有多复杂，而在逻辑和操作顺序。
明确目标镜像的最新发布版标签
很多镜像（如 nginx、redis、python）并不会把所有变更都打到 latest 上，真正“最新发布版”往往是有语义化版本号的，比如 nginx:1.25.5、python:3.12.4。建议别依赖 :latest，尤其在生产环境。
- 打开 Docker Hub 或对应镜像的官方 GitHub Release 页面，查最新稳定 tag
- 用
curl -s https://registry.hub.docker.com/v2/repositories/library/nginx/tags/ | jq '.results[].name' | grep -E '^[0-9]+\.[0-9]+\.[0-9]+$' | sort -V | tail -n 3可快速列出近期语义化版本（需安装 jq） - 确认该 tag 确实已发布且未被撤回（看发布时间、是否 marked as “verified”）
使用 --platform 和 @digest 提升确定性
即使指定了版本号，不同架构（amd64/arm64）或构建差异也可能导致行为不一致。加 --platform 能锁定目标 CPU 架构；用 @sha256:xxx 则完全固定镜像内容，杜绝“同 tag 不同层”的风险。
- 拉取 arm64 版本的 Alpine 3.19：
docker pull --platform linux/arm64 alpine:3.19 - 按 digest 拉取确切镜像（需先查 digest，例如从 Docker Hub 页面或 API 获取）：
docker pull alpine@sha256:b8a47b7954e47434340592305101f4207120588c4d547812e1b543391810250e - digest 方式最可靠，适合 CI/CD 或审计场景，但维护成本略高
清理旧镜像 + 显式拉取 = 实质上的“强制更新”
Docker 不提供一键“强制刷新”开关，但组合操作效果等价：删旧镜像 → 拉新镜像 → 验证 ID 是否变化。这是最常用也最可控的做法。
- 删除本地已有镜像（含 dangling 层）：
docker image rm -f nginx:1.25.4 - 拉取新版本：
docker pull nginx:1.25.5 - 验证是否真更新：
docker images nginx --format "{{.Tag}}\t{{.ID}}"，对比前后 ID 是否不同 - 想批量处理？可用
docker images | grep nginx | awk '{print $3}' | xargs -r docker rmi -f（慎用，确保无容器在运行）
在 docker-compose 中同步生效
如果用 docker-compose，光拉镜像还不够，得让服务真正用上它。推荐组合方式：
- 更新
docker-compose.yml中的image:字段为新 tag（如nginx:1.25.5） - 执行：
docker-compose pull && docker-compose down && docker-compose up -d - 或一步到位（v2.20+）：
docker-compose up --pull always -d，自动检查并拉取所有 service 的最新指定镜像 - 注意：
--pull always不会覆盖你写死的 tag，它只对 yml 里声明的镜像做“拉取最新匹配版”，所以仍需先改 tag
