GitHub Actions 可自动化编译容器镜像，通过配置 workflow 文件实现 push 到 main 分支、打 v 开头 tag 或手动触发；需用 buildx 搭建构建环境，完整流程含检出代码、构建镜像、登录仓库、推送多 tag；应最小化权限、缓存加速、精简镜像并验证启动。
直接用 GitHub Actions 触发容器镜像自动化编译，核心是写对工作流（workflow）文件，让代码一提交就自动构建、打标签、推送——不需要手动敲命令。
触发条件要配准
镜像编译不是随时都该跑，得靠事件驱动。最常用的是 push 到 main 分支，或打带 v 开头的 tag：
- 推送到主干分支时触发：适合日常开发，每次合并都生成新镜像
- 打 tag 时触发：比如 git tag v1.2.0 && git push --tags，更适合发布正式版本
- 支持手动触发（workflow_dispatch）：调试或临时构建时点一下按钮就行
构建环境得搭稳
GitHub 默认提供 ubuntu-latest 运行器，但容器构建需要 Docker 或 buildx 支持：
- 用
docker/setup-buildx-action@v3启用 BuildKit，支持多阶段、缓存、并行构建 - 如果用 nerdctl，需额外安装 containerd 和 nerdctl（可用脚本 apt install 或下载二进制）
- 跨平台构建（如同时出 amd64 + arm64 镜像）必须依赖 buildx，并指定
--platform linux/amd64,linux/arm64
构建与推送步骤要闭环
一个完整流程通常包含四步，缺一不可：
-
检出代码：用
actions/checkout@v4，注意加fetch-depth: 0（尤其涉及 git tag 或 submodule 时） -
构建镜像：推荐用
docker buildx build，支持 --load（本地加载）或 --push（直推仓库） -
登录镜像仓库：GHCR 用
${{ secrets.GITHUB_TOKEN }}；Docker Hub 必须用 Access Token（不能用密码），配成 secret 变量 - 推送镜像：打多个 tag（如 latest、commit-sha、v1.2.0），提升可追溯性
安全与优化别漏掉
生产级使用必须兼顾安全和效率：
-
权限最小化：在 workflow 顶部加
permissions:，只开packages: write和contents: read -
缓存加速：用
actions/cache@v4缓存/tmp/.buildx-cache，能省掉 40%+ 构建时间 - 镜像瘦身：Dockerfile 用 multi-stage 构建，基础镜像选 alpine 或 distroless，避免 COPY 整个构建目录
-
验证环节：构建后加一步
docker run --rm your-image:latest /bin/sh -c 'echo ok'，防止镜像无法启动
