清理含过期证书的 Docker 镜像本质是删除因 TLS 证书失效导致无法拉取、推送或更新的冗余镜像，而非识别镜像内证书；需区分本地可用镜像与失效 Registry 关联镜像，优先修复证书再清理陈旧标签，并通过自动续签和标签策略预防复发。
清理含过期证书的 Docker 镜像，本质不是“识别证书过期”，而是清理那些因证书失效、无法再拉取或验证、且已不再使用的镜像——尤其常见于私有 Registry（如 Harbor、GitLab Container Registry）中因 TLS 证书过期导致 pull 失败，或本地构建时引用了已失效 HTTPS 源的镜像。
先确认镜像是否真因证书问题失效
证书本身不存于镜像内，但镜像来源（如私有仓库地址）若因证书过期导致无法访问，则该镜像在后续使用中会失败。需区分两类情况：
- 本地已存在的镜像：只要没被删除，仍可运行或导出，证书过期不影响本地使用；
-
无法 pull 或 push 的镜像标签：比如
curl -k https://your-registry/v2/返回 SSL 错误，说明 Registry 服务因证书失效不可用，此时新镜像无法同步，旧镜像虽存在但失去更新能力。
清理关联的失效镜像（按场景操作）
重点不是删“带过期证书的镜像”，而是清理因证书问题导致冗余、无法维护、或已废弃的镜像：
- 检查并删除长期未更新的镜像：
docker images --format "{{.CreatedAt}} {{.Repository}}:{{.Tag}}" | awk '$1 > "30" {print $2}' | xargs -r docker rmi
（保留近30天内的镜像，避免误删仍在用的） - 批量清理无标签悬空镜像（常由证书失效后中断构建产生）：
docker image prune -f - 清空所有未被容器引用的镜像（含带标签但闲置的）：
docker image prune -a -f
执行前建议先运行docker ps -a --filter ancestor=镜像名确认无依赖
针对私有 Registry 的证书失效后续处理
若 Registry 本身证书过期（如 GitLab Registry、Harbor），镜像文件实际仍存在磁盘上，但 API 不可用。此时清理需两步：
-
修复证书：更新 Registry 的 TLS 证书（如 Nginx / Apache 反代配置，或直接替换
/certs/registry.crt），重启服务； -
再清理过期标签：证书恢复后，用 Registry API 删除陈旧标签：
curl -X GET http://your-registry/v2/myapp/tags/list | jq -r '.tags[]' | grep -vE '^(latest|prod-)' | xargs -I{} curl -X DELETE http://your-registry/v2/myapp/manifests/{}
注意：需确保REGISTRY_STORAGE_DELETE_ENABLED=true已启用，且 Registry 版本 ≥ 2.4
预防下次证书过期影响镜像管理
避免反复陷入“证书过期 → 镜像无法同步 → 手动清理混乱”的循环：
- 为 Registry 域名配置自动续签（如 Certbot + cron）；
- 在 CI/CD 脚本中加入证书有效期检查（
openssl s_client -connect your-registry:443 2>/dev/null | openssl x509 -noout -dates）； - 对关键镜像打
prod-或vX.Y.Z标签，并设置保留策略，不依赖latest这类易受环境波动影响的标签。
