Docker 登录成功，push 仍 denied：检查镜像是否带 Docker Hub namespace

本地镜像能找到，docker login 也成功，但推送时出现：

The push refers to repository [docker.io/library/web_service]
denied: requested access to the resource is denied

这是示例输出。关键是目标中的 library：省略 namespace 的镜像名会落到 Docker Hub 官方镜像使用的默认命名空间。普通账号登录成功，并不意味着可以向这里推送。

给现有镜像增加正确的目标标签

假设本地镜像是 web_service:latest，目标是你有写入权限的个人或组织 namespace。下面的 your-hub-name 必须替换成实际名称：

docker image ls web_service
docker tag web_service:latest your-hub-name/web_service:1.0
docker image ls your-hub-name/web_service
docker push your-hub-name/web_service:1.0

docker tag 给同一份本地镜像增加一个引用，不需要为改名称重新构建。前后两个标签应指向相同的 IMAGE ID。推送命令要使用新标签；只创建了新标签，却仍执行 docker push web_service，目标不会改变。

Docker Hub 镜像引用可以写成 namespace/repository:tag。namespace 是个人账号或有权限的组织，repository 是仓库名，tag 是版本标识。web_service:your-hub-name 把用户名放在 tag 位置，也不能得到个人命名空间下的仓库。

目标已有 namespace，但仍被拒绝

先看 push 输出中的 registry、namespace 和 repository 是否与你准备发布的位置一致，再确认登录的是拥有写入权限的账号。需要指定 Docker Hub 账号时，可在交互终端使用：

docker login --username your-hub-name

按提示输入密码或适用的访问令牌。不要把令牌直接写进 -p 参数、脚本或排查日志。如果使用组织仓库，账号成员身份和令牌权限也要允许向该仓库写入。读取镜像的权限不能代替推送权限。

登录与推送应由同一个本机用户、同一套 Docker 客户端配置执行。普通用户登录后再用 sudo docker push，可能切换到 root 的凭据配置；sudo 本身不会增加 Docker Hub 仓库权限。CI 中也要核对实际执行用户与凭据配置路径，避免把终端登录当成流水线已登录的证据。

确有账号切换或过期凭据时，再考虑退出并重新登录。docker logout 会移除当前客户端保存的对应登录凭据，之后其他依赖它的拉取或推送也需要重新认证。无需为 namespace 错误删除整个配置文件或重启 Docker 服务。

成功标准是 push 完成并返回目标镜像摘要，Docker Hub 对应仓库中能看到预期 tag。推送会更新远端同名 tag；已有生产服务依赖该 tag 时，先选一个新版本 tag 并保留原有版本，避免诊断过程中覆盖正在使用的发布引用。