核心是三步：先构建或获取镜像，再用docker tag标识归属与版本，最后用docker push上传；标签须含完整仓库路径，格式为<registry-host>/<namespace>/<image-name>:<tag>，推送前必须完成认证，推送后需在仓库界面和跨机拉取双重验证。
为容器镜像打标签并推送到仓库，核心是三步：先构建或获取镜像，再用 docker tag 明确标识其归属与版本，最后用 docker push 上传到目标仓库。关键不在操作多复杂，而在标签命名是否清晰、仓库地址是否准确、认证是否提前完成。
标签必须包含完整仓库路径
镜像标签不是随便起个名字，而是要体现“谁的镜像、在哪存、什么版本”。格式统一为：
<registry-host>/<namespace>/<image-name>:<tag>
- 公有仓库（如 Docker Hub）可省略 host，例如：
myuser/myapp:v1.2.0 - 私有仓库（如 Harbor 或阿里云 ACR）必须写全地址，例如：
harbor.example.com/prod/backend:v1.2.0或registry.cn-hangzhou.aliyuncs.com/my-ns/myapp:git-abc123 - 避免单独使用
latest——它不表示最新版，只表示未指定版本时的默认值，生产环境建议禁用
推送前务必完成认证
没有登录，docker push 会直接报错 unauthorized。不同仓库登录方式略有差异：
- Docker Hub：
docker login docker.io，输入账号密码即可 - 阿里云 ACR：
docker login --username=xxx registry.cn-hangzhou.aliyuncs.com，密码是 AccessKey Secret - Harbor（HTTPS 自签名证书）：需先将证书拷贝到
/etc/docker/certs.d/harbor.example.com/ca.crt，再执行docker login harbor.example.com - 内网 HTTP 仓库（不推荐生产使用）：需在
/etc/docker/daemon.json中配置"insecure-registries"并重启 Docker 服务
一次构建，多个标签，按需推送
不需要为每个版本重复构建，可用 docker tag 给同一镜像 ID 打多个语义化标签，再分别推送：
- 构建基础镜像：
docker build -t myapp:dev . - 打生产标签：
docker tag myapp:dev registry.example.com/team/myapp:v1.0.0 - 打稳定别名：
docker tag myapp:dev registry.example.com/team/myapp:stable - 全部推送：
docker push registry.example.com/team/myapp:v1.0.0
docker push registry.example.com/team/myapp:stable
验证推送结果最简单的方法
推送完成后，不要只看终端输出 Pushed 就认为成功。建议立刻做两件事：
- 在浏览器打开仓库 Web 页面（如 Harbor UI 或 ACR 控制台），确认镜像和标签已列出
- 换一台干净机器，执行
docker pull <完整镜像名>，看能否拉下来并docker run启动 - 若失败，优先检查：标签拼写是否一致、网络是否通、权限是否足够、镜像名中是否有非法字符（如大写字母、下划线）
