第7章：镜像仓库与 CI/CD 集成——私有 Harbor + GitHub Actions

本章你将彻底搞懂：搭建私有镜像仓库的两种方案（Docker Registry 和 Harbor）。Harbor 的企业级功能：权限管理、镜像复制、漏洞扫描。GitHub Actions 自动构建镜像并推送到私有仓库的完整流水线。镜像安全扫描与供应链攻击防范。真实案例：公司使用的公共镜像被植入挖矿程序，从此所有基础镜像必须从私有仓库拉取；还有一次 CI 流水线中 latest 标签覆盖导致生产环境拉取了未测试的版本。
配套资源：一键部署 Harbor 的 docker-compose 脚本、GitHub Actions workflow 模板（支持多环境、标签自动生成）、镜像漏洞扫描脚本。
真实踩坑：我曾把 Docker Hub 的 node:14 直接用在生产，结果该镜像某天被下架，CI 失败；还有一次 docker push 时因为未登录，报错 denied: requested access to the resource is denied，排查半天发现是 GITHUB_TOKEN 权限不足。

---

7.1 一个公共镜像被投毒的午夜惊魂

2021 年我在一家电商公司，团队使用 alpine:latest 作为基础镜像。某天深夜，安全团队紧急通知：Docker Hub 上某个版本的 alpine 镜像被植入挖矿程序，我们的 CI 日志