云原生【免费下载链接】buildahA tool that facilitates building OCI images.项目地址https://gitcode.com/gh_mirrors/bu/buildah点击查看免费下载导读buildah source push是 Buildah 中实验性的 source 子命令族create / add / pull / push的收尾环节它负责把通过buildah source create创建、buildah source add追加源码工件后保存在本地 OCI 目录布局中的“源码镜像”source image推送到远程容器镜像仓库供他人拉取复用。阅读本文后你将掌握该命令的完整语法、四个选项的语义与默认值、底层基于containers/image的推送调用链以及它和同族命令组合出“创建源码镜像 → 上传分发 → 校验拉取”的完整工作流。注根据官方文档与 cmd/buildah/source.go 中的命令描述buildah-source及其所有子命令目前仍处于实验性阶段接口与行为未来可能发生变化生产环境使用前请评估风险。命令概述与语法名称与用途buildah-source-push— 将源码镜像从指定路径推送至镜像仓库Push a source image from a specified path to a registry。“源码镜像”在此处的含义是一个包含构建普通 OCI 镜像时所使用的全部源码工件source artifacts的镜像。这些工件可以是任何类型的源码材料例如源 RPM、整个源码树或普通文本文件见 docs/buildah-source.1.md 与 cmd/buildah/source.go 中的sourceDescription。从技术实现上看它是一个 OCI artifact——即带有自定义 config 媒体类型的 OCI 镜像config 的媒体类型为application/vnd.oci.source.image.config.v1json定义于 internal/source/source.go 的MediaTypeSourceImageConfig。SYNOPSISbuildah source push [*options*] *path* *registry*参数说明位置参数含义示例值path本地源码镜像路径指向一个 OCI 目录布局即buildah source create生成、buildah source add更新过的目录/tmp/sourceimage:latestregistry目标镜像仓库引用需使用完整限定名quay.io/sourceimage/example:latest官方给出的示例见 cmd/buildah/source.gobuildah source push /tmp/sourceimage:latest quay.io/sourceimage/example:latest命令要求恰好两个位置参数源码中Args: cobra.ExactArgs(2)第一个是源路径、第二个是目标 registry 引用。路径与 registry 引用都支持:tag形式的标签后缀。选项详解OPTIONSbuildah source push共提供四个选项--creds、--digestfile、--quiet/-q、--tls-verify。它们的定义位置在 cmd/buildah/source.go 的sourceInit()函数中。--credscreds--creds [username[:password]]用于在需要时向 registry 进行身份认证的凭据。若用户名或密码或两者未提供命令行会弹出提示要求输入用户名提示后正常输入密码输入时不回显echo 关闭保证终端环境下的安全性。从源码实现看internal/source/push.gopush会把--creds的值交给 pkg/parse/parse.go 的AuthConfig()解析凭据按[username[:password]]格式拆分为用户名与密码缺失的部分触发交互式输入——用户名通过fmt.Scanln读取密码通过term.ReadPassword无回显读取。解析完成后填充到types.DockerAuthConfig并写入底层推送使用的SystemContext.DockerAuthConfig。--digestfiledigestfile--digestfile FILE镜像复制完成后将结果镜像的 digest写入指定文件。这是 push 独有的选项pull没有该选项见 cmd/buildah/source.go 的 flag 注册。底层实现位于 internal/source/push.go推送成功后copy.Image返回的 manifest 字节会被manifest.Digest()计算摘要再以os.WriteFile(..., 0o644)写入目标文件。该 digest 可用于后续校验把 push 时生成的 digest 文件与 pull 下来的镜像 manifest digest 对比即可确认传输完整性。--quiet, -q--quiet, -q压制推送源码镜像时的进度输出。默认值为falseflag 注册处BoolVarP(sourcePushOptions.Quiet, quiet, q, false, ...)。实现上internal/source/push.go当Quiet为 false 时copy.Options.ReportWriter被设置为os.Stderr进度信息输出到标准错误设为-q后ReportWriter保持 nil进度条被静默。适合在脚本或 CI 流水线中减少噪音。--tls-verifybool-value--tls-verify BOOL与容器镜像仓库通信时是否要求 HTTPS 并校验证书默认值为 trueflag 注册处BoolVar(sourcePushOptions.TLSVerify, tls-verify, true, ...)。关键限制与不安全insecureregistry 通信时TLS 校验不可用即访问 HTTP 明文仓库时必须显式设置--tls-verifyfalse。源码中的映射关系是internal/source/push.gosysCtx : types.SystemContext{ DockerInsecureSkipTLSVerify: types.NewOptionalBool(!options.TLSVerify), }即--tls-verifyfalse时DockerInsecureSkipTLSVerify置为 true跳过 TLS 证书校验。对本地测试用的 HTTP 仓库如localhost上的 registry这条选项是必要的。底层实现从本地 OCI 布局到 registry 的推送调用链buildah source push的命令入口最终调用 internal/source/push.go 的Push()函数其流程可以拆解为五个步骤1. 解析源与目标引用源端layout.ParseReference(sourcePath)—— 将本地路径解析为OCI layout transport引用即把path当成 OCI 目录布局oci-layout、index.json、blobs/sha256结构来读取。目标端stringToImageReference(imageInput)—— 参考 internal/source/pull.go 的实现目标名会以docker://前缀通过alltransports.ParseImageName解析为 docker registry transport 引用并将imageInput作为完整限定名处理。不支持短名short name因为源码镜像通常需要精确定位与完整寻址。2. 构造 SystemContextsysCtx : types.SystemContext{ DockerInsecureSkipTLSVerify: types.NewOptionalBool(!options.TLSVerify), } if options.Credentials ! { authConf, err : parse.AuthConfig(options.Credentials) ... sysCtx.DockerAuthConfig authConf }该上下文统一携带 TLS 校验开关与可选认证凭据供后续签名策略与复制操作使用。3. 建立签名策略上下文policy, err : signature.DefaultPolicy(sysCtx) policyContext, err : signature.NewPolicyContext(policy)推送操作受系统签名策略signature policy约束——即调用者所在主机的默认策略通常由/etc/containers/policy.json之类的策略文件决定。这意味着 push 的成败不仅取决于网络与权限还取决于本机的镜像签名策略配置。4. 调用 copy.Image 完成传输copyOpts : copy.Options{ DestinationCtx: sysCtx, } if !options.Quiet { copyOpts.ReportWriter os.Stderr } manifestBytes, err : copy.Image(ctx, policyContext, destRef, srcRef, copyOpts)这里复用go.podman.io/image/v5/copy即 containers/image 的 copy 包完成从 OCI layout 到 docker registry 的完整复制读取本地 OCI 布局中的 manifest、config 与各层 blob按需上传到目标仓库。整个 push 可以看作“一次带签名策略校验的镜像复制”。5. 可选写 digest 文件如--digestfile所述成功后计算 manifest 摘要并写入文件作为推送结果的可验证产出。完整工作流create → add → push → pull 闭环source push是源码镜像生命周期中承上启下的一环配合同族命令可形成完整闭环各子命令定义均位于 cmd/buildah/source.go第 1 步创建源码镜像buildah source create --author Your Name /tmp/fedora:latest-sourcecreate会初始化一个空源码镜像OCI artifact写入带自定义媒体类型 config 的 manifest见 internal/source/create.go 与 docs/buildah-source-create.1.md。默认自动写入created时间戳可用--time-stampfalse关闭--author设置 config 中的作者字段默认不设置。第 2 步添加源码工件buildah source add --annotation build-id20260924 /tmp/fedora sources.tar.gzadd会把工件如源 RPM、源码树、文本文件以 gzip 压缩的 tar ball 形式追加为镜像 layer并在 manifest 的 layer descriptor 上记录--annotationkeyvalue格式可重复指定同一 key 只能出现一次解析逻辑见 internal/source/add.go。详见 docs/buildah-source-add.1.md。第 3 步推送分发本文主题buildah source push /tmp/fedora:latest-source quay.io/example/fedora-source:latest将本地 OCI 布局完整推送到 registry。需要认证时追加--creds在 CI 脚本中常配合-q静默进度。第 4 步拉取校验buildah source pull quay.io/example/fedora-source:latest /tmp/fetched-source:latestpull会先校验远端镜像是否确实是一个源码镜像——即 config 媒体类型必须为application/vnd.oci.source.image.config.v1json否则拉取失败见 internal/source/pull.go 的validateSourceImageReference。这保证了分发链路两端对“源码镜像”语义的一致性。将第 3 步--digestfile写出的 digest 与第 4 步拉取后本地 manifest 的 digest 对比即可端到端验证源码镜像在推送/拉取过程中未被篡改或损坏。使用注意事项与限制结合文档与源码使用buildah source push时需注意以下几点实验性状态命令族整体处于 experimental 阶段文档与 cmd/buildah/source.go 均有明确声明接口未来可能调整。完整限定名目标 registry 引用不支持短名必须写完整限定名如quay.io/example/foo:latest否则报错逻辑见 internal/source/pull.gopush 侧同样复用该解析约束。TLS 校验默认开启默认要求 HTTPS 与证书校验仅当目标为不安全 registryHTTP时显式--tls-verifyfalse且此时无法做 TLS 校验。凭据交互输入--creds省略用户名或密码时会在终端交互提示密码无回显自动化场景建议直接提供完整username:password或将凭据预先配置在容器工具链的认证配置中。digest 文件为可选产出需要校验或审计时可指定--digestfile成功推送后文件内容为结果镜像 manifest 的 digest。相关文档buildah-source(1)source 命令族总览含 add / create / pull / push 子命令索引buildah-source-create(1)创建并初始化源码镜像buildah-source-add(1)向源码镜像添加源码工件buildah-source-pull(1)从 registry 拉取源码镜像到本地路径命令与选项注册 cmd/buildah/source.go核心实现 internal/source/push.go、internal/source/source.go、internal/source/pull.go、internal/source/add.go凭据解析 pkg/parse/parse.go赞分享云原生【免费下载链接】buildahA tool that facilitates building OCI images.项目地址https://gitcode.com/gh_mirrors/bu/buildah点击查看免费下载相关推荐Postman便携版终极指南无需安装的Windows API开发利器Postman便携版终极指南无需安装的Windows API开发利器 还在为繁琐的API工具安装过程而烦恼吗Postman便携版为你提供了一种革命性的解决方云原生ModelScope本地化部署方案构建安全可控的企业级AI推理平台ModelScope本地化部署方案构建安全可控的企业级AI推理平台 面对企业敏感数据上云的隐私风险与云端AI服务的不稳定连接ModelScope本地化部署方人工智能大模型微调模型评测预训练如何在5分钟内为你的网站添加惊艳的3D模型展示Model Viewer完整入门指南如何在5分钟内为你的网站添加惊艳的3D模型展示Model Viewer完整入门指南 你是否曾经梦想过为你的电商网站添加可以360度旋转的产品展示或者为你的教前端3D渲染图形学上一篇Headless-WP-Starter CORS配置跨域资源共享完全指南下一篇ALS-Community终极指南5个高效解决方案与实战技巧创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考