镜像摘要固定（Digest Pinning）

用 image@sha256:… 引用镜像：内容寻址、不受标签重推影响，是「引用即事实」的部署方式。

形式	registry.example.com/app@sha256:<64 位十六进制>
获取	docker inspect --format '{{index .RepoDigests 0}}' 或 push 输出
适用	生产部署清单、签名校验、供应链策略

Kubernetes 引用

containers:
  - name: app
    image: registry.example.com/app@sha256:aaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaaa

摘要固定牺牲可读性：在注释或部署记录里同时写明对应版本号。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌