环境：Docker Hub TLS/DNS 阻断 standalone Docker 复现

[ZZDR1023]

用户可见症状

仓库 README 声明 Docker worker 与 standalone Dockerfile 可用于可复现实验，但在当前 Linux 环境无法构建固定基镜像 python:3.11.13-slim-bookworm，因此真实 Docker 路径尚不能通过验收。

已完成查重

已逐条检查全部 3 条开放 Issue（#3 benchmark、#4 input、#5 API）与全部 1 条关闭 Issue（#1 engineering baseline）；均不以 Docker Hub DNS/TLS 连通性为根因，也没有同一用户可见症状，因此新建独立缺陷。

复现（2026-08-14，本机 Ubuntu 22.04 / Docker 29.1.3）

docker build --no-cache -t modeling-agent-python:0.1-alpha python/

实际失败：

failed to resolve reference "docker.io/library/python:3.11.13-slim-bookworm":
failed to do request: Head "https://registry-1.docker.io/v2/library/python/manifests/3.11.13-slim-bookworm":
dial tcp [2a03:2880:f11f:83:face:b00c:0:25de]:443: i/o timeout

另有独立 docker manifest inspect python:3.11.13-slim-bookworm 在 registry v2 transport 阶段超时。docker info 显示 Docker Hub 保持 Secure: true，没有 registry mirror 或 insecure registry 配置；shell 无 HTTP(S)_PROXY 环境变量。系统 resolver 的上游为本地网关 DNS，外部 1.1.1.1:53 也不可达。此前相同链路曾表现为 registry TLS 证书 hostname 不匹配；当前主要表现为 IPv6/443 timeout。

影响

• TypeScript/Python 测试、local fake 流程、standalone unpack/reproduce 均可通过；
• Docker image build 和真实 Docker execution/standalone Docker reproduction 无法完成；
• 不能将 Docker 路径宣称为已实测通过。

安全边界

不得通过以下方式“修复”：

• 禁用 Docker/registry TLS 验证；
• 增加 insecure-registries；
• 固化可疑 DNS/hosts 映射；
• 替换为未审核第三方 mirror 或未经验证的镜像 tag。

建议排查与验收

1. 由网络/DNS 管理方修复可验证的 Docker Hub A/AAAA 与 TCP/TLS 连通性，或提供企业批准、TLS 正常校验的 registry mirror/预拉取 base image。
2. 保持 Docker Hub / mirror 证书链和 hostname 校验启用。
3. 重新执行：

   docker manifest inspect python:3.11.13-slim-bookworm
   docker build --no-cache -t modeling-agent-python:0.1-alpha python/

4. 用 MODELING_AGENT_PYTHON_IMAGE=modeling-agent-python:0.1-alpha 执行真实 docker worker run，并从独立解压目录构建/运行 packaged standalone.Dockerfile，核对 project archive/reproduced 输出和无 host path 泄漏。

非目标

不修改建模算法、Docker 安全隔离契约、CI 外网策略或把 Docker 验证伪装为 local verification。

[ZZDR1023]

开始排查（无需 code worker）：已完成 Docker daemon、resolver、route 和 TLS 连通性只读检查。

• Docker Hub 仍保持 secure，未配置 mirror/insecure registry，shell 无 HTTP(S) proxy；
• 当前 resolver 返回的 registry-1.docker.io A/AAAA 会变化，但 IPv4、IPv6 与 curl --resolve（保留 hostname/SNI/TLS 校验）到 :443/v2/ 均连接超时；
• docker manifest inspect 与标准 docker build --no-cache -t modeling-agent-python:0.1-alpha python/ 均在 FROM python:3.11.13-slim-bookworm 拉取 registry manifest 前失败；
• 未修改 /etc/hosts、DNS、Docker daemon、TLS 验证或镜像来源，未启用 insecure registry。

状态：外部网络/DNS/registry 访问阻断，等待网络/DNS 管理方提供可验证、TLS 正常的 Docker Hub 连通性或批准的安全 mirror/预拉 base image。届时按 Issue 正文的 manifest/build/real worker/standalone Docker 验收步骤继续。

[ZZDR1023]

补充网络诊断（仍保持 TLS 校验开启）：当前机器没有本地 python:* base image；对 registry-1.docker.io 和 auth.docker.io 的 IPv4 HTTPS 连接超时。为区分 DNS 与出站链路，又以 pinned 官方 IPv4 + 正确 hostname/SNI 访问 Google/Cloudflare DoH；两者同样 TCP/443 timeout。

结论未变且证据更强：当前环境存在广泛的可信 HTTPS 出站阻断/网络路径问题，不能通过改 Dockerfile、换未验证镜像、固定 hosts、关闭 TLS 或设 insecure registry 合理修复。等待网络管理员恢复经证书验证的连通性或批准安全 registry mirror/预拉取精确 base image。未派 code worker。