2026年必看 | Harbor vs GitHub Actions：服务网格

▌ 技术引导
Harbor 与 GitHub Actions 都是 CI/CD 领域的热门工具，但在 2026 年，它们的定位和适用场景已发生明显变化。Harbor 作为容器镜像仓库，其核心价值在于安全、私有化和多租户管理，而 GitHub Actions 更侧重于代码自动化构建与部署。如果你正在构建一个需要深度集成容器镜像和安全策略的项目，Harbor 的配置能力会让你在构建流水线中多出几个控制节点。例如，在 Harbor 上设置匿名拉取权限时，不要直接使用默认配置，应该通过 `docker-registry` 的配置文件禁用非授权访问，限制到特定 IP 或 Token。GitHub Actions 虽然灵活，但它的依赖项管理在复杂构建中容易出错，尤其是在多步 job 中，缓存策略没配对会导致资源浪费。我见过太多人因为没合理设置 Harbor 的标签策略，导致镜像版本混乱，从生产环境误拉了测试镜像，这种问题必须在部署阶段前置控制。

在 GitHub Actions 中，使用 `actions/checkout@v4` 时，一定要设置 `fetch-depth` 为 0，否则只能获取部分提交记录，影响依赖项的准确性。Harbor 的用户权限系统支持 Role-Based Access Control（RBAC），在实际部署中我直接将 `scm` 权限绑定到开发者组，同时将 `pull` 权限限制到 `jenkins` 用户，避免误操作。对于 GitHub Actions，当项目规模大时，建议使用 `matrix` 模型运行多平台测试，减少资源浪费。Harbor 本身不提供 CI 功能，所以必须结合 Jenkins 或 GitLab CI 来构建完整流程，我在实际部署中配置了 Harbor 与 Jenkins 的 webhook 机制，确保镜像推送后自动触发构建。

Harbor 的安全扫描功能必须配置扫描策略，否则你的镜像可能携带漏洞。设置扫描策略时，我直接在 `harbor.yml` 中配置了 `notary` 和 `clair` 作为扫描插件，并且通过 `--insecure-registry` 参数允许本地私有仓库的 HTTPS 通信。GitHub Actions 在部署到 Kubernetes 时，建议使用 `kubernetes-action` 并配置 `context`，同时用 `kubectl apply` 覆盖现有资源，避免状态不一致。Harbor 的标签策略必须通过 `labels` 配置项严格定义，否则在拉取镜像时可能出现版本冲突。GitHub Actions 的 Runner 自定义配置要避免使用默认镜像，而是基于 `alpine` 或 `ubuntu` 构建最小化环境，减少冷启动时间。

在 Harbor 中，如果需要支持多架构镜像，必须在 `harbor.yml` 中配置 `multi_arch` 并启用 `buildah`，这比 GitHub Actions 的 `docker/build-push-action` 更稳定。GitHub Actions 的 `workflow_dispatch` 功能虽然方便，但在生产环境建议用 `pull_request` 或 `push` 触发机制，避免误触。Harbor 的用户认证默认使用 LDAP，但如果你希望更细粒度的权限控制，可以引入 `casdoor` 或 `keycloak` 作为身份认证中间件。GitHub Actions 的 `matrix` 模型在测试不同 Node.js 版本时，会自动并行执行，这在某些项目中能节省大量时间。Harbor 的部署可以直接通过 `docker-compose` 或 `kustomize` 实现，我用后者来管理多环境配置，避免手动修改 YAML 文件。

GitHub Actions 的缓存机制需要配合 `cache` 功能，但要避免缓存失败导致的重复构建。Harbor 的 API 接口文档在 `v2.6` 版本后加入了 `v2.6.0` 的 `policy` 管理接口，可以通过 `curl -X POST http://harbor:8080/api/v2.6.0/projects/1/policies` 设置策略。两者在安全性上有明显差异，GitHub Actions 的 Token 管理更复杂，需要严格限制 `read` 和 `write` 权限，否则容易被泄露。Harbor 的 TLS 配置建议使用 `insecure-registries` 和 `registry-mirrors` 优化镜像拉取性能。GitHub Actions 的 `steps` 配置要避免长时间同步，否则会占用大量 Runner 资源。Harbor 的 `notification` 系统可以通过 `email` 或 `webhook` 推送告警，我用 `webhook` 通知 Slack，提高问题响应速度。

▌ 技术参考
Harbor 与 GitHub Actions 在 2026 年的 CI/CD 路径中扮演了不同的角色。Harbor 是一个专注于容器镜像管理的私有仓库，它提供了镜像存储、安全扫描、标签策略、权限控制等核心功能。而 GitHub Actions 是 GitHub 提供的代码自动化构建平台，它允许开发者在代码仓库中定义构建、测试和部署流程。在实际使用中，Harbor 更适合需要严格控制镜像版本和安全策略的场景，而 GitHub Actions 更适合代码本身的自动化流程。两者在集成时需要考虑各自的 API 和配置机制，比如 Harbor 提供的 REST API 可以与 GitHub Actions 的 `docker` 操作结合，形成完整的 CI/CD 流程。

在 Harbor 中，若要设置标签策略，需在 `harbor.yml` 配置文件中定义。例如，`tags_policy: strict` 是常见的设置，它确保只有符合预定义规则的标签才能被推送。这种策略在生产环境中非常重要，可以防止误操作。同时，Harbor 支持通过 `docker-registry` 配置项定义私有仓库的访问权限，如设置 `insecure-registries` 和 `registry-mirrors` 来优化镜像拉取速度。GitHub Actions 的 `docker` 操作通常通过 `actions/checkout@v4` 和 `docker/build-push-action` 实现，但在多平台构建时，需要使用 `buildx` 来支持多架构镜像。Harbor 虽然不提供 CI 功能，但其与 Jenkins 的集成非常成熟，通过 webhook 可以实现镜像推送后自动触发构建。

GitHub Actions 的配置文件 `workflow.yml` 是核心，其中的 `jobs` 定义了任务流程。例如，`jobs: build` 中可以加入 `steps` 来指定构建命令。同时，使用 `matrix` 模型可以实现多环境测试，如指定不同 Node.js 版本的运行环境。如果项目需要部署到 Kubernetes，推荐使用 `kubernetes-action`，并在 `steps` 中配置 `kubectl apply`。不过要注意，GitHub Actions 的 Runner 需要先进行注册，否则无法执行任务。Harbor 的部署可以通过 `docker-compose` 或 `kustomize` 实现，前者适合单机环境，后者适合多环境配置。在 Harbor 中，若要支持多架构镜像，需要配置 `multi_arch` 并启用 `buildah` 工具，这比 GitHub Actions 的 `docker/build-push-action` 更加灵活。

在实际部署中，我遇到过 Harbor 的标签策略未配置导致版本混乱的问题。在 Harbor 管理界面中，进入项目设置，找到 `Tag Policy` 并定义 `Tag Format`，比如 `v[0-9]+.[0-9]+.[0-9]+`，这样可以确保所有推送的镜像标签符合格式规范。同时，通过 `docker-registry` 配置 `insecure-registries`，可以避免在本地开发时因证书问题导致的拉取失败。在 GitHub Actions 中，若要使用缓存，需要在 `steps` 中加入 `cache: true` 参数，并设置 `cache-key` 来区分不同的缓存版本。例如，`cache: { key: 'v1', path: 'node_modules' }` 可以确保依赖项不会被重复下载。但要小心缓存失效问题，这可能导致构建失败或资源浪费。

Harbor 的安全扫描功能可以通过 `clair` 或 `notary` 实现，两者都需要在 `harbor.yml` 中启用。例如，配置 `clair:` 部分并设置 `enabled: true`，然后在 `notifications` 配置中添加扫描通知的 Webhook 地址。这样，每次推送镜像时会自动触发安全检查，发现漏洞后可通过邮件或 Slack 通知。在 GitHub Actions 中，扫描镜像通常通过 `docker scan` 实现，但需要注意，这个命令仅支持公共仓库，私有仓库需要配置访问 Token。Harbor 的用户权限系统支持 `RBAC`，开发者可以直接在管理界面中分配 `scm`、`pull`、`push` 权限，确保只有特定用户才能操作。而在 GitHub Actions 中，权限管理主要依赖于 GitHub 的 Token 策略，需严格限制权限范围，否则可能造成安全风险。

GitHub Actions 的 Runner 注册方式有多种，包括 `self-hosted` 和 `github-hosted`。使用 `self-hosted` 时，需要在本地运行 `docker run -d -p 80:80 -p 443:443 harbor` 启动 Harbor 容器，然后通过 `gh actions-runner-register` 注册 Runner。但要注意，如果 Runner 未正确配置，可能导致 `action requires a runner to be registered and online` 错误。Harbor 的 TLS 配置建议使用自签名证书，并在 `docker-registry` 设置 `insecure-registries` 以避免证书验证失败。同时，可以通过 `harbor.yaml` 中的 `notary` 配置项来设置信任的根证书，提高安全性。在 GitHub Actions 中，如果遇到 `Permission denied` 错误，通常是因为 Token 权限不足，需检查 `GITHUB_TOKEN` 是否拥有 `read` 和 `write` 权限。

Harbor 的日志系统可以通过 `logrotate` 配置，避免日志文件过大。例如，在 `docker-compose.yml` 中设置 `volumes: - ./logs:/var/log`，并配置 `logrotate` 的 `daily` 和 `rotate` 参数。同时，Harbor 支持通过 `webhook` 配置定时任务，比如使用 `cron` 表达式来触发镜像清理操作。在 GitHub Actions 中，`cron` 任务可以通过 `on` 配置项实现，例如 `on: cron: '0 0 '` 表示每天零点执行。不过要注意，`cron` 任务在 GitHub 上的执行频率受到限制，不能随意设置为每分钟。Harbor 的镜像推送可以通过 `docker push` 实现，但需要在 `docker-registry` 中配置 `insecure-registries`，否则会因证书问题失败。此外，Harbor 的 `notification` 系统可以通过 `webhook` 配置不同通知方式，如 Slack、邮件或 Jira，便于团队协作。

GitHub Actions 的 `workflow_dispatch` 功能允许用户通过 UI 直接触发工作流，但这种机制不适合生产环境。我见过很多团队在生产环境中误用了 `workflow_dispatch` 导致构建被触发多次，最终浪费大量资源。因此，建议使用 `pull_request` 或 `push` 作为触发条件，确保只有特定事件才会执行。Harbor 的 `webhook` 机制可以通过 `docker-compose` 或 `kustomize` 配置，例如在 `docker-compose.yml` 中设置 `ports: - "8080:8080"` 和 `volumes: - ./config:/etc/harbor`，以确保 Harbor 服务可访问。在 GitHub Actions 中，若要使用 `matrix` 模型，需要在 `jobs` 中定义 `strategy`，例如 `strategy: matrix: node: [14, 16]`，这样会为每个 Node.js 版本创建独立的 Runner。但要注意，每个 Runner 的环境可能不同，需要预先构建好镜像。

Harbor 的私有仓库使用 `docker login` 来认证，但配置 Token 可以避免密码泄露。例如，在 `docker-registry` 中设置 `auth` 带 Token，格式为 `username:TOKEN`，这样每次推送镜像时无需输入密码。在 GitHub Actions 中，若要使用私有仓库，需在 `docker` 操作中配置 `registry` 和 `username`，例如 `env: REGISTRY_USER=myuser, REGISTRY_PASS=MYTOKEN`，然后在 `steps` 中引入 `docker/login` 命令。但要注意，Token 需要足够权限，否则会报 `denied: requested access to the resource is denied` 错误。Harbor 的 `multi_arch` 功能需要配合 `buildah` 使用，例如在 `harbor.yml` 中配置 `multi_arch: true`，并设置 `buildx` 的 `builder` 来构建不同架构的镜像。GitHub Actions 的 `buildx` 配置可以通过 `actions/docker-build-push@v3` 实现，但需要确保 Runner 环境支持 `buildx`。

在 Harbor 中，若要实现镜像版本回滚，需在 `project` 中启用 `tag policy`，并设置 `valid_tags` 限制可拉取的版本范围。例如，`valid_tags: ['v1.0.0', 'v1.1.0', 'latest']` 会阻止用户拉取无规则的标签。这种配置在生产环境中非常关键，避免误操作导致版本混乱。GitHub Actions 的 `checkout` 操作建议使用 `actions/checkout@v4`，并设置 `fetch-depth: 0`，以确保拉取完整代码历史。同时，`git` 操作中的 `ref` 配置项必须正确，否则可能影响依赖项的准确性。Harbor 的 `registry-mirrors` 配置可以提升镜像拉取速度，例如在 `docker-registry` 中设置 `registry-mirrors: ['https://mirror.example.com']`，这样所有拉取请求都会被转发到镜像源。GitHub Actions 的 `action` 配置需要避免重复使用，否则可能导致 `step already exists` 错误。

Harbor 的镜像存储默认使用 `sqlite`，但在生产环境中建议切换为 `postgresql`，以提高并发能力和数据可靠性。配置 `postgresql` 时，需要在 `docker-compose.yml` 中添加数据库服务，并在 `harbor.yml` 中设置 `database: postgresql`。同时，Harbor 的 `storage` 配置项允许指定存储路径，例如 `storage: /data`，确保数据持久化。GitHub Actions 的 `runner` 需要配置 `runner_group`，以确保任务只在特定团队或组织中执行，避免权限过大导致的安全风险。Harbor 的 `notification` 系统可以通过 `webhook` 配置不同通知方式，如 Slack、邮件或 Jira，便于团队协作。在 GitHub Actions 中，若要使用 `webhook` 触发任务，需在 `workflow.yml` 中配置 `events: push` 和 `pull_request`，确保在特定事件发生时自动执行。

GitHub Actions 的 `secret` 管理需要谨慎，避免 `GITHUB_TOKEN` 泄露。我见过很多团队因为 `secret` 配置错误，导致敏感信息暴露在日志中。因此，建议在 `workflow.yml` 中使用 `env` 变量来存储敏感信息，如 `env: REGISTRY_PASS=MYTOKEN`，而非直接写在 `steps` 中。Harbor 的镜像扫描可以通过 `clair` 实现，但需确保 `clair` 的 `enabled: true` 配置项已正确设置。同时，Harbor 的 `policy` 管理需要配置 `docker-registry` 的 `notary` 模块，以确保镜像来源可追溯。在 GitHub Actions 中，若要使用 `cache`，需在 `steps` 中配置 `cache: true`，并设置 `cache-key` 来区分缓存版本。例如，`cache: { key: 'v1', path: 'node_modules' }` 可以确保依赖项不会被重复下载。

Harbor 的 `webhook` 配置项需要在 `docker-registry` 中启用，并设置 `url` 和 `headers`。例如，`webhook: url: http://myserver:8080/webhook, headers: {"X-Harbor-Event": "push"} ` 可以确保镜像推送后触发相应任务。在 GitHub Actions 中，`webhook` 需要通过 `actions/github-webhook@v3` 解析，但要注意，这种机制可能导致 `authentication failed` 错误，需要配置 `secret` 来验证请求来源。Harbor 的 `storage` 配置项允许指定存储路径，例如 `storage: /data`，确保镜像持久化。同时，Harbor 的 `notification` 系统可以通过 `webhook` 配置不同通知方式，如 Slack、邮件或 Jira，便于团队协作。在 GitHub Actions 中，若要使用镜像推送，需在 `steps` 中配置 `docker` 操作，并使用 `docker build` 和 `docker push` 命令。但要注意，推送前必须进行 `docker login`，否则会报 `denied: requested access to the resource is denied` 错误。

GitHub Actions 的 `runner` 需要配置 `runners` 的 `tags`，以确保任务分配到合适的环境。例如，`runs-on: [self-hosted, linux, x64]` 可以确保任务只在指定的 Runner 上运行。同时，Harbor 的 `multi_arch` 功能需要配合 `buildah` 使用，例如在 `harbor.yml` 中配置 `multi_arch: true`，并设置 `buildx` 的 `builder` 来构建不同架构的镜像。这种配置在多平台部署中非常有用，但需要注意，`buildx` 的环境需要支持多种架构。Harbor 的 `storage` 配置项允许指定存储路径，例如 `storage: /data`，确保镜像持久化。同时，Harbor 的 `notification` 系统可以通过 `webhook` 配置不同通知方式，如 Slack、邮件或 Jira，便于团队协作。在 GitHub Actions 中，若要使用 `webhook` 触发任务，需在 `workflow.yml` 中配置 `events: push` 和 `pull_request`，确保在特定事件发生时自动执行。