# 

发布流程走完，回滚脚本也跑过一遍，业务方验证说「功能还是老的」。三拨人查了两小时，最后发现容器里跑的镜像根本不是刚构建的那一份。

问题不在构建，不在仓库，在拉取策略的默认值。

## 那次的具体现象是什么？

改了一个小的校验逻辑，构建推送到镜像仓库，滚动重启执行完，新实例状态正常。验证功能，没有生效。

又重启一次，还是没有。看实例的详细事件，发现一行很容易被跳过的话：本地已经有这个镜像。

意思是节点上已经存在同名镜像，于是跳过了拉取。

## 为什么重启不会自动拉新的？

因为判断要不要拉，看的是镜像的引用字符串，不是内容。

引用里写的是标签，标签在这次发布前后完全一样。节点上又有同名镜像，默认的「本地有就不拉」策略就生效了。

至于仓库里那个标签现在指向哪一层内容，节点根本没去问。

这也解释了为什么滚动重启不起作用：它只是重建实例，实例里写的还是同一个引用字符串。

## 默认值到底怎么算出来的？

官方文档列了四条判定，注意它们是有顺序的：

> if you omit the imagePullPolicy field, and the spec for the container image is the digest, the imagePullPolicy is automatically set to IfNotPresent.

> if you omit the imagePullPolicy field, and the tag for the container image is latest, imagePullPolicy is automatically set to Always.

> if you omit the imagePullPolicy field, and you don't specify the tag, imagePullPolicy is automatically set to Always.

> if you omit the imagePullPolicy field, and you specify a tag that isn't latest, the imagePullPolicy is automatically set to IfNotPresent.

翻译成表：

| 你写的引用 | 默认策略 | 原因 |
| --- | --- | --- |
| 带内容摘要 | 本地有就不拉 | 摘要不可变，没必要每次查 |
| 标签写最新 | 每次都拉 | 标签会移动 |
| 不写标签 | 每次都拉 | 缺省标签就是最新 |
| 普通标签 | 本地有就不拉 | 认为标签代表固定版本 |

第三行最容易被忽略：不写标签等价于写最新标签。我们用的是第四行，所以默认就是「本地有就不拉」。

## 「每次都拉」是不是每次重新下载？

不是，这是第二个误解。很多人不敢开这个策略，怕每个实例启动都要拖几个 G。

官方对它的描述是：每次启动容器时，节点让容器运行时去拉取镜像；运行时联系仓库，把标签或名字解析成内容摘要，只下载本地没有的层；如果所有层都在本地，直接使用缓存。

所以它保证的是「每次都去问仓库」，不是「每次都重新下一遍」。

| 策略 | 每次启动做什么 | 仓库不可用时 | 主要代价 |
| --- | --- | --- | --- |
| 每次都拉 | 查仓库、解析摘要、补缺层 | 可能起不来 | 多一次网络往返 |
| 本地有就不拉 | 只看本地 | 照常启动 | 可能用到旧内容 |

第二行是这套策略的真实风险：仓库跨地域、有速率限制、或者网络抖动时，「每次都拉」会把仓库故障放大成实例起不来。

## 为什么改了标签策略不跟着变？

官方用注意段落标出来了：

> The value of imagePullPolicy of the container is always set when the object is first created, and is not updated if the image's tag or digest later changes.

「容器的拉取策略值总是在对象首次创建时设置，之后即使标签或摘要变化，也不会更新。」

机制不难理解：默认值是创建时被写进对象的，写进去就成了显式字段。之后改镜像，那个字段不会重新计算。

| 时间点 | 镜像引用 | 实际生效的策略 |
| --- | --- | --- |
| 创建时 | 普通标签 | 本地有就不拉 |
| 后来改成 | 最新标签 | 仍是本地有就不拉 |
| 以为的 | 最新标签 | 应该是每次都拉 |

这张表的后两行，就是那次事故里团队脑子里的模型和集群里的现实。

## 想让每次都拿到新版，有哪几条路？

官方给了四条：显式设成每次都拉、用最新标签、不写标签、或者启用会强制改写的准入控制器。

| 方式 | 影响范围 | 代价 |
| --- | --- | --- |
| 显式设策略 | 单个工作负载 | 仓库不可达时起不来 |
| 用最新标签 | 单个工作负载 | 版本不可追溯，回滚困难 |
| 不写标签 | 单个工作负载 | 更隐蔽，同样不可追溯 |
| 准入控制器 | 全集群 | 所有工作负载依赖变强 |

我们后来没有选这四条，而是改了发布流程：让构建号进标签，每次发布标签都不同。

这样「本地有就不拉」也能拿到新内容，因为引用字符串变了，而且天然可以回滚到上一个标签。

## 用内容摘要能解决问题吗？

能，而且比调策略更彻底。

官方文档的说法是：标签用来标识同一系列镜像的不同版本，摘要是内容的哈希、不可变；标签可以被移动指向不同的镜像，而摘要固定。

| 引用方式 | 内容会变吗 | 能否追溯 | 拉取默认值 |
| --- | --- | --- | --- |
| 只写标签 | 会 | 靠约定 | 本地有就不拉 |
| 只写摘要 | 不会 | 精确 | 本地有就不拉 |
| 标签加摘要 | 不会 | 精确且可读 | 本地有就不拉 |

第三行是现在常用的写法：标签给人看，摘要决定拉哪一份。两者并存时，只有摘要用于拉取。

代价是发布流程要改：构建完拿到摘要，再回写到部署清单。纯命令行的镜像替换做不到这一点，需要一个能改配置的环节。

## 怎么确认跑的是哪一版？

固定三步。

第一步，看实例里实际生效的策略与引用，不是看部署清单。清单里没写不代表实例里没有，那个字段很可能已经被填过值。

```bash
# 看 Pod 里实际生效的策略与镜像引用
kubectl get pod <pod> -o jsonpath='{.spec.containers[*].imagePullPolicy}'
kubectl get pod <pod> -o jsonpath='{.spec.containers[*].image}'
```

第二步，看事件里有没有「本地已有」这句话。有这句就是走了缓存，比读配置直接。

第三步，如果怀疑标签与内容不一致，把引用里的摘要摘出来，和仓库里标签对应的摘要比一下。

这套镜像引用规范我整理进了项目的部署清单模板，最早散在几次「发版不生效」的排查记录里，用 AI墨衍 把其中的判断依据归拢成按「写法、默认策略、能不能锁版本」三列排的表。

## 云上环境还有哪些额外风险？

三点。

第一，多可用区部署时，不同节点第一次拉取的时间不同，灰度期间会同时跑新旧版本。

第二，节点池扩容时，新节点没有缓存，会真正去拉一次；老节点可能仍用缓存。于是同一批实例行为不一致。

第三，镜像仓库的访问策略与网络连通性会随区域变化，跨地域拉取的失败率明显高于同地域。

所以云上发版后不要只看实例是否就绪，要看每个实例实际用的是哪个摘要。

## 小结

三句话：标签不是版本，默认策略跟着标签走，策略只在创建时写入。

把「有没有换」这个问题变成「摘要是不是新的」，比在策略上反复调参可靠得多。


发布流程走完，回滚脚本也跑过一遍，业务方验证说「功能还是老的」。三拨人查了两小时，最后发现容器里跑的镜像根本不是刚构建的那一份。

镜像推上去了，容器重启几次跑的还是旧代码

云计算

运维

架构设计

容器镜像拉取策略默认值为IfNotPresent，导致节点上有同名镜像时跳过拉取，新构建未被使用。通过构建号进标签或使用摘要引用，确保每次发布引用字符串变化，避免发版不生效问题。

代码解释

容器

腾讯云双十一大促

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

社区新版编辑器体验调研

镜像推上去了，容器重启几次跑的还是旧代码-腾讯云开发者社区-腾讯云

镜像推上去了，容器重启几次跑的还是旧代码

镜像推上去了，容器重启几次跑的还是旧代码

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐