Analysez une référence Docker : registre, dépôt, tag ou digest

L’analyseur sépare un registre explicite, avec son éventuel port, du chemin du dépôt et d’un tag ou digest de contenu facultatif. Il sait pourquoi le deux-points de registry.example.com:5000 ne délimite pas un tag, contrairement à celui qui suit le nom d’une image. Une référence incorrecte produit une erreur claire, jamais des champs partiels trompeurs. Aucun registre n’est contacté et les valeurs omises, comme Docker Hub ou latest, ne sont pas inventées.

Isolez chaque élément sans deviner de valeur implicite

Une référence d’image Docker peut être aussi courte que alpine ou aussi détaillée que registry.example.com:5000/platform/api:2026.07. À première vue, le port du registre et le tag de l’image utilisent tous deux un deux-points ; un simple découpage selon la ponctuation fournit donc un résultat erroné. Cet analyseur commence par isoler le digest, puis recherche un tag uniquement dans le dernier segment du chemin. Il considère le premier composant délimité par une barre oblique comme un registre explicite si celui-ci vaut localhost, contient un point, comporte le deux-points d’un port ou correspond à une adresse IPv6 entre crochets. Tous les composants suivants constituent le chemin du dépôt. La sortie conserve exclusivement les informations réellement présentes. Pour alpine, le dépôt est alpine et aucun champ de registre ou de tag n’apparaît. L’outil ne remplace pas le registre par docker.io, n’ajoute pas l’espace de noms conventionnel library et ne suppose pas latest. Le résultat convient ainsi aux audits de configuration, aux contrôles de règles et aux migrations qui doivent distinguer une valeur explicite d’une valeur par défaut du client.

Traitez correctement tags, digests, ports et chemins

Les tags et les digests identifient les images de deux façons distinctes. Un tag est une étiquette modifiable telle que stable, 1.4.2 ou release_candidate, tandis qu’un digest est un identifiant lié au contenu, écrit après une arobase sous la forme d’un algorithme et d’une valeur. L’analyseur les renvoie dans des champs séparés et accepte également une référence qui contient les deux, car les outils Docker peuvent qualifier par un digest un nom déjà muni d’un tag. Les chemins de dépôt peuvent comprendre plusieurs composants en minuscules et les séparateurs admis par les règles usuelles de nommage Docker. Les hôtes de registre font l’objet d’une validation distincte, y compris les ports numériques de 1 à 65535 et les formes IPv6 minuscules entre crochets. L’algorithme et la valeur du digest doivent respecter leur propre syntaxe, et la valeur doit être suffisamment longue. L’outil ne résout aucun tag, ne vérifie pas l’existence d’un digest et ne contrôle pas les droits de téléchargement. Cette analyse strictement syntaxique reste donc déterministe, confidentielle et indépendante du réseau.

Refusez les entrées ambiguës avant toute automatisation

Un analyseur trop permissif présente un risque dans une chaîne de déploiement, car une faute de frappe peut désigner une autre image que celle prévue. Cette capacité refuse les valeurs vides, les espaces initiaux, finaux ou internes, les schémas d’URL, les séparateurs de digest répétés, les segments de chemin vides, les tags incorrects, les ports de registre invalides, les noms de dépôt en majuscules et les expressions de digest malformées. Elle limite également la longueur de la référence complète et du dépôt afin de borner le traitement. La validation renvoie une seule erreur d’entrée explicite plutôt qu’un objet partiel qui semblerait fiable. Utilisez ce comportement à l’entrée d’une tâche de CI, d’un éditeur de manifeste, d’un importateur d’inventaire d’images ou d’un outil de politique d’admission. Un résultat valide peut être orienté selon la présence d’un registre, d’un tag ou d’un digest ; une valeur incorrecte interrompt immédiatement le flux. Une syntaxe valide ne prouve pas que le dépôt ou l’image existe : cette vérification exige l’accès au registre et une authentification, volontairement exclus ici. L’exécution dans le navigateur reste locale et l’API coûte $0.002 par référence.