Gitea Actions 官方 runner 在 3.0.0 之前,工作流里的 jobs.*.container.options 会写入 Docker HostConfig。即使强制 Privileged=false,--pid=host、--ipc=host、--cap-add=ALL 以及放开 seccomp/apparmor 仍然生效,工作流作者可以进入宿主机命名空间并以 root 执行命令(CVE-2026-73802,CVSS 9.9)。请把 gitea/runner 升到 3.0.0 或更高。gitea/act_runner 已弃用。
Gitea 1.27.3 及更早版本在下载容器镜像 blob 时,把清单里声明的 mediaType 直接用作 Content-Type,且没有限制性的内容安全策略(CVE-2026-103667,CVSS 9.0)。能推镜像的用户可以让已登录受害者在 Gitea 域名下执行脚本并生成全权限 API 令牌。请升级到 28.0.0 或更高,当前镜像标签 28.1.0。
oc-mirror 同步镜像时,内置本地 cache registry 会绑定所有网卡,没有认证也没有加密,并且没有限制在本机(CVE-2026-96577,CVSS 7.1)。同一网络中的未认证攻击者可以在同步期间推送被篡改的镜像、删除缓存或读取已镜像内容。Red Hat 对多数产品仍标为调查中,目前没有已知缓解办法,请等待安全更新。
国内机器上 docker pull 超时,常常是把只在云内网生效、或已经停用的地址写进了 daemon.json。本文按 2026 年 10 月 6 日的官方说明,写出腾讯云、阿里云、华为云和网易云各自还能怎么用,以及轩辕镜像专业版专属域名在 Docker、containerd 和 Podman 里的配置。适合高校、实验室和公司研发机,在本机、跨云或 NAS 上改加速。
docker pull 超时、镜像拉取失败时,先别急着换一堆来路不明的地址。这篇整理的是 2026 年 10 月还能用的国内 Docker 镜像加速写法,高校、实验室、公司研发机都可以照着配。拉 Docker Hub、ghcr.io、GCR、registry.k8s.io 时,常见是慢、超时,或者碰上 401 / 429 / manifest unknown。很多时候不是「源挂了」,而是配错了地方:daemon.json 里的 registry-mirrors 主要管 docker.io;Kubernetes 节点用的是 containerd,不会读你笔记本 Docker Desktop 里的加速配置。
小团队自建代码托管,常见拆法是 Gitea / GitLab 管仓库,再另起 Jenkins、Drone 或一套 Runner 跑构建。Webhook、权限和备份各管各的,出问题要在两套后台之间对账。源码和制品若不能出内网,公有云托管按席位计费,完整企业 DevOps 套件又往往过重。更常见的目标是:**一台机器上同时有 Git、流水线和制品入口**,浏览器能管,数据落在自己的磁盘。