openserbia/watchtower

镜像概述

openserbia/watchtower是一款用于自动更新Docker容器基础镜像的工具，是已停止维护的containrrr/watchtower的维护版分支。它通过轮询Docker套接字、检查镜像仓库最新摘要，自动重建过时容器（保留原有卷、网络、环境变量等配置），为轻量级场景提供可靠的镜像更新能力。

核心功能

• 修复上游问题：解决原项目未合并的bug（如--cleanup删除替换镜像、空指针panic等）；
• 安全更新机制：支持--health-check-gated选项，等待新容器健康检查通过后替换，失败时自动回滚；
• 灵活更新策略：提供recreate（默认）、rolling-restart、blue-green三种策略，可通过标签指定；
• 网络安全增强：严格TLS配置、令牌缓存、指数退避重试等；
• 可观测性优化：支持Prometheus指标、Grafana仪表盘、HTTP API审计端点。

使用场景

适用于家庭实验室、自托管服务栈、媒体中心、开发环境等无需Kubernetes复杂部署的场景；不适用于需要分阶段发布、金丝雀部署或回滚的生产工作负载。

配置说明

快速启动

要求Docker Engine 20.10或更高版本：

bash
docker run --detach \  
    --name watchtower \  
    --volume /var/run/docker.sock:/var/run/docker.sock \  
    docker.xuanyuan.run/openserbia/watchtower

默认每24小时轮询一次，可通过标签com.centurylinklabs.watchtower.enable=true选择需更新的容器：

bash
docker run --label com.centurylinklabs.watchtower.enable=true docker.xuanyuan.run/my-app:latest
docker run -v /var/run/docker.sock:/var/run/docker.sock \  
    docker.xuanyuan.run/openserbia/watchtower --label-enable

Docker Compose示例

yaml
services:  
  watchtower:  
    image: docker.xuanyuan.run/openserbia/watchtower:latest  
    restart: unless-stopped  
    volumes:  
      - /var/run/docker.sock:/var/run/docker.sock  
    command:  
      - --interval=60  
      - --cleanup  
      - --label-enable  

发布验证

验证镜像或二进制文件完整性：

bash
# 验证二进制校验和  
sha256sum -c watchtower_<version>_checksums.txt --ignore-missing  

# 验证镜像Sigstore签名  
cosign verify ghcr.io/openserbia/watchtower:latest \  
    --certificate-identity-regexp '^https://github.com/openserbia/watchtower/' \  
    --certificate-oidc-issuer https://token.actions.githubusercontent.com  

安全报告

若发现漏洞，请通过https://github.com/openserbia/watchtower/security/advisories/new提交，避免公开issue。

贡献指南

使用Devbox管理开发环境：

bash
devbox shell                 # 加载Go 1.26等工具  
devbox run -- task lint      # 代码检查  
devbox run -- task test      # 测试  
devbox run -- task build     # 构建二进制文件  

许可证

基于Apache 2.0许可证，原项目版权归containrrr作者所有，分支由openserbia维护。