Docker凭证文件不支持多账号切换，需通过不同registry域名、凭据助手或企业级Harbor/Nexus项目权限实现多环境隔离。
本地 Docker 凭证文件本身不支持“多账号切换”这种动态行为——它只保存最近一次 docker login 的认证信息，且同一仓库地址（如 registry.cn-hangzhou.aliyuncs.com）只能存一份凭据。真要实现多账号协作或不同环境（如 dev/test/prod）使用不同阿里云 ACR 账号，得靠外部管理机制，而非修改凭证文件本身。
用 ~/.docker/config.json 手动管理多个账号
虽然 config.json 默认只写一个账号，但你可以手动编辑它，为不同仓库地址分别配置凭据。关键前提是：每个账号必须对应**不同的 registry 域名**（哪怕只是子域名或端口不同）。
- 例如，把 dev 和 prod 环境映射到两个逻辑独立的 registry 地址：
-
dev-registry.cn-hangzhou.aliyuncs.com→ 绑定开发团队子账号 -
prod-registry.cn-hangzhou.aliyuncs.com→ 绑定运维主账号 - 然后在 config.json 中分别写入两段
auths记录，Docker 会自动按域名匹配凭据
用 docker-credential-helper 工具链隔离凭据
推荐使用官方支持的凭据助手（如 docker-credential-pass 或 docker-credential-osxkeychain），它们允许你为不同 registry 地址存储独立密码。操作流程是：
- 先执行
docker login dev-registry.cn-hangzhou.aliyuncs.com，凭据存入助手 - 再执行
docker login prod-registry.cn-hangzhou.aliyuncs.com，另一组凭据单独保存 - 后续
docker pull/push时，Docker 自动根据镜像 URL 的 registry 域名调取对应凭据
用别名或脚本模拟账号切换
没有真正“切换”，但可通过封装命令降低出错概率：
- 写两个 shell 函数，比如
login-dev和login-prod，各自执行docker login并带上对应用户名和密码（建议从环境变量或密钥管理器读取） - 推送前统一用
docker tag显式指定目标 registry 地址，避免混淆 - 例如：
docker tag myapp:v1 dev-registry.cn-hangzhou.aliyuncs.com/team-a/app:v1
企业级推荐：用 Harbor 或 Nexus 的项目级权限代替账号切换
如果用的是 Harbor v2.8+ 或 Nexus Repository，更合理的做法不是换账号，而是：
- 为每个团队/环境创建独立项目（Project）
- 给不同用户分配不同项目的
developer、maintainer角色 - 所有人员都用同一个登录账号（如 LDAP 统一账号），但拉推权限由项目策略控制
- 这样既避免凭证混乱，又便于审计和回收权限
