凭据助手 credential helper

把登录凭据交给系统密钥库：配置 credsStore 后 docker login 的密码不再明文进 ~/.docker/config.json，团队机器与 CI 都值得统一。

机制	config.json 的 credsStore 指向助手程序
常见助手	desktop / pass / secretservice / wincred
检查	看 config.json 是否还有明文 auths 段

示例

grep -i credsStore ~/.docker/config.json
docker-credential-pass list 2>/dev/null | head -5 || echo 'helper not configured'

CI 环境优先使用短期令牌或工作负载身份换取凭据，静态长期凭据的轮换成本高。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌