镜像 tar 文件完整性检查需依次验证文件大小、tar 结构、SHA256 校验值；确认 Docker 版本与 OCI/Docker Schema 格式兼容；排查权限、磁盘空间、daemon 状态及 SELinux 限制；解压检查 manifest.json 与 blobs 一致性，并执行 inspect 和 run 验证。
检查镜像 tar 文件是否完整可用
导入失败的第一步往往是文件本身出了问题。传输中断、磁盘写入异常或网络波动都可能导致 tar 包截断或损坏，常见报错如 unexpected EOF、invalid tar header 或 Error processing tar file (exit status 1)。
- 用
du -h image.tar查看文件大小，明显小于预期值（比如源文件 3.2GB，目标只有 1.4GB）说明传输未完成 - 执行
tar -tf image.tar | head -n 5，若报错或无输出，基本可判定归档结构已破坏 - 对比 SHA256 哈希值：
sha256sum image.tar，与原始发布方提供的校验值严格比对 - 若无校验值且环境允许，建议回到源主机重新执行
docker save -o image.tar 镜像名:标签
确认 Docker 版本与镜像格式是否匹配
新版 Docker（v23+）默认采用 OCI v1.1 规范导出镜像，而旧版（尤其是 v18.x 及更早）可能生成已弃用的 Docker Schema 1 格式。二者不兼容时，docker load 会静默失败或提示解析错误。
- 运行
file image.tar查看归档类型描述，若含 “Docker image” 但加载失败，大概率是格式问题 - 推荐升级本地 Docker 至稳定版 ≥20.10，避免工具链过旧导致元数据识别异常
- 临时兼容方案：使用
skopeo copy docker-archive:image.tar docker-archive:image-oci.tar转换格式 - 注意跨平台导出差异——WSL 导出的镜像在纯 Linux 导入时，需留意路径分隔符和换行符影响
排查宿主机环境限制因素
即使镜像文件完好、版本匹配，权限、空间或守护进程异常也会导致导入中断，典型表现包括 permission denied、no space left on device、connection refused。
- 确保当前用户已加入
docker用户组：groups $USER；未加入则执行sudo usermod -aG docker $USER并重新登录 - 检查
/var/lib/docker所在分区剩余空间：df -h /var/lib/docker；镜像解压后体积通常是 tar 文件的 2–3 倍 - 验证 Docker daemon 是否活跃：
systemctl is-active docker；若为inactive，运行sudo systemctl start docker - 企业环境中还需留意 SELinux 或 AppArmor 是否拦截了文件读取操作
验证导入后镜像元数据是否有效
导入成功但 docker images 显示镜像 ID 为 <none>，或后续运行容器报 manifest unknown，说明 manifest.json 中的 Config 引用或 layer digest 不匹配，常见于手动修改 tar 内容、缺失某层 blob 或 registry 导出不全。
- 解压 tar 到临时目录：
tar -xvf image.tar -C /tmp/image-check，检查是否存在manifest.json和对应blobs/子目录 - 打开
manifest.json，确认Config字段指向的 blob 路径存在，且各Layers列表中的 digest 在blobs/下均有对应文件 - 若发现缺失，不可简单补空文件——需从原始 registry 重新完整拉取并导出，或联系镜像提供方获取完整包
- 导入后务必执行
docker inspect 镜像ID和docker run --rm 镜像名 true进行基础可用性验证
