安全添加私有仓库认证信息的核心是避免明文暴露密码、不依赖临时命令、确保凭证受系统级保护；推荐使用操作系统原生凭据管理器（Windows凭据管理器、macOS钥匙串、Linux libsecret）加密存储，清理config.json中base64明文密码，严格限制权限与传输加密。
安全添加私有仓库认证信息，核心是避免明文暴露密码、不依赖临时命令、确保凭证受系统级保护。关键不在“怎么登录”，而在“谁能看到密码、谁有权读取配置、是否加密存储”。
用系统凭据管理器保存认证（推荐）
这是最安全的方式，Docker 会调用操作系统原生的凭据服务，密码不落盘到文本文件中。
-
Windows：运行
docker login your-registry.example.com:5000，输入用户名密码后，Docker 自动将凭据存入“Windows 凭据管理器 → 普通凭据”中，名称类似docker-credential-desktop -
macOS：同样执行
docker login，凭据由“钥匙串访问”保存，类型为“互联网密码”，服务器字段为仓库地址 -
Linux（带 libsecret）：需先安装
docker-credential-secretservice，再配置~/.docker/config.json中的"credsStore": "secretservice"，之后docker login即走加密存储
检查并清理 config.json 中的明文密码
如果已执行过 docker login 但未启用凭据存储，密码可能以 base64 明文形式存在 ~/.docker/config.json 的 auths 字段里——这非常危险。
- 打开该文件，查找
"auth"字段，若值是 base64 编码且可轻易解码（如ZXhhbXBsZTp0ZXN0→example:test），说明密码未加密 - 删除整个
auths区块，或删掉对应仓库条目，然后改用凭据管理器方式重新登录 - 确认
config.json权限为600：chmod 600 ~/.docker/config.json
避免在脚本或 CI 中硬编码凭证
自动化场景下绝不能写 docker login -u admin -p 123456 这类命令。
- CI/CD 中应使用环境变量 +
docker login -u $REG_USER -p $REG_PASS，且确保变量被平台标记为“secret”并屏蔽日志输出 - 更优做法是提前在 runner 机器上配置好凭据管理器，让
docker login命令直接读取系统凭据，无需传参 - Kubernetes Pod 或 Docker Compose 中，通过
config.json挂载方式注入认证，而非注入明文密码
私有仓库端同步强化认证机制
客户端安全只是半边，服务端也必须配合：
- Registry 必须启用 HTTPS（自签名证书也要正确部署并被客户端信任），否则
docker login发送的密码会被明文传输 - 认证方式优先选
htpasswd（bcrypt 加密），禁用空密码或简单 realm；Harbor 等平台应开启 LDAP 或 OIDC，避免本地账号泛滥 - 定期轮换管理员密码，并限制高权限账号仅用于必要操作，普通开发用最小权限账号
