diff --git a/.gitea/workflows/container.yml b/.gitea/workflows/container.yml
index 343bd9b..33e65fb 100644
--- a/.gitea/workflows/container.yml
+++ b/.gitea/workflows/container.yml
@@ -1,4 +1,4 @@
-name: Build and test website container
+name: Build and publish website container
 
 on:
   push:
@@ -11,6 +11,9 @@ jobs:
     timeout-minutes: 35
     container:
       image: docker:29.1.3-cli
+    env:
+      IMAGE_REPOSITORY: gitea.kenanzhu.com/autolibrary/website
+      RELEASE_SHA: ${{ gitea.sha }}
     steps:
       - name: Install checkout tools
         shell: sh
@@ -24,12 +27,34 @@ jobs:
 
       - name: Build and test the image
         shell: bash
-        env:
-          RELEASE_SHA: ${{ gitea.sha }}
         run: |
           set -euo pipefail
           docker info --format '{{range .SecurityOptions}}{{println .}}{{end}}' | grep -Fx 'name=rootless'
-          image="autolibrary-web:${RELEASE_SHA}"
-          trap 'docker image rm "$image" >/dev/null || true' EXIT
+          image="${IMAGE_REPOSITORY}:${RELEASE_SHA}"
           docker build -t "$image" .
           bash deploy/smoke-container.sh "$image"
+
+      - name: Push the tested image to Gitea
+        if: ${{ gitea.ref == 'refs/heads/main' || gitea.ref == 'refs/heads/container-ci' }}
+        shell: bash
+        env:
+          REGISTRY_USERNAME: ${{ secrets.REGISTRY_USERNAME }}
+          REGISTRY_TOKEN: ${{ secrets.REGISTRY_TOKEN }}
+        run: |
+          set -euo pipefail
+          : "${REGISTRY_USERNAME:?Add the REGISTRY_USERNAME repository secret}"
+          : "${REGISTRY_TOKEN:?Add the REGISTRY_TOKEN repository secret}"
+          DOCKER_CONFIG=$(mktemp -d)
+          export DOCKER_CONFIG
+          trap 'rm -rf -- "$DOCKER_CONFIG"' EXIT
+          printf '%s\n' "$REGISTRY_TOKEN" | docker login "${IMAGE_REPOSITORY%%/*}" \
+            --username "$REGISTRY_USERNAME" --password-stdin
+          docker push "${IMAGE_REPOSITORY}:${RELEASE_SHA}" | tee "$DOCKER_CONFIG/push.log"
+          digest=$(awk '$2 == "digest:" {print $3}' "$DOCKER_CONFIG/push.log")
+          [[ $digest =~ ^sha256:[0-9a-f]{64}$ ]]
+          echo "Published ${IMAGE_REPOSITORY}@${digest}"
+
+      - name: Remove the local image tag
+        if: always()
+        shell: bash
+        run: docker image rm "${IMAGE_REPOSITORY}:${RELEASE_SHA}" >/dev/null 2>&1 || true
diff --git a/README.md b/README.md
index 2156cdb..8dcdda6 100644
--- a/README.md
+++ b/README.md
@@ -88,7 +88,7 @@ go build -o webserver .
 
 ## 发布与维护
 
-网站源码推送到 Gitea 的 `main` 后，由专用 Runner 构建并验证网站镜像。镜像运行、数据挂载和切换步骤见 [容器部署说明](docs/container-deployment.md)。使用原生 systemd 发布时，见 [Gitea 原生部署](docs/gitea-deployment.md)。
+网站源码推送到 Gitea 的 `main` 后，由专用 Runner 构建、验证并发布网站镜像到 Gitea。镜像运行、数据挂载和切换步骤见 [容器部署说明](docs/container-deployment.md)。使用原生 systemd 发布时，见 [Gitea 原生部署](docs/gitea-deployment.md)。
 
 完整部署、备份和回滚步骤见 [Ubuntu 部署说明](docs/migration-to-ubuntu.md)。配置和运行时数据与前端构建分开保存；本地现有数据库、主题文件和 Casdoor 配置不需要重建。
 
diff --git a/docs/container-deployment.md b/docs/container-deployment.md
index 5572a05..214ff11 100644
--- a/docs/container-deployment.md
+++ b/docs/container-deployment.md
@@ -13,7 +13,9 @@ bash deploy/smoke-container.sh autolibrary-web:local
 
 冒烟测试使用临时配置和空数据库，在无外部网络的容器里验证首页、后端健康检查、深层路由、静态资源、SQLite API 和 SIGTERM 退出。
 
-Gitea Actions 在 `main` 和 `container-ci` 推送时执行同一套镜像构建和冒烟测试。专用 Runner `hk-vps-runner-02` 使用 `linux-amd64-docker-small` 标签，作业在 Docker CLI 容器中运行。给构建作业提供专用 rootless Docker daemon，工作流会检查 daemon 的 rootless 标志。镜像仓库推送和生产切换需要单独接入。
+Gitea Actions 在 `main` 和 `container-ci` 推送时执行同一套镜像构建和冒烟测试。专用 Runner `hk-vps-runner-02` 使用 `linux-amd64-docker-small` 标签，作业在 Docker CLI 容器中运行。工作流检查构建 daemon 的 rootless 标志。
+
+冒烟测试通过后，工作流使用仓库 Secrets 中的 `REGISTRY_USERNAME` 和 `REGISTRY_TOKEN`，把镜像推送到 `gitea.kenanzhu.com/autolibrary/website:<提交SHA>`，并在日志中输出镜像摘要。令牌需要对 `AutoLibrary` 组织的软件包有写入权限。生产机按该摘要拉取镜像，生产切换单独执行。
 
 ## 使用现网配置
 
@@ -22,7 +24,7 @@ Gitea Actions 在 `main` 和 `container-ci` 推送时执行同一套镜像构建
 从部署机设置以下环境变量。镜像可以用提交 SHA 标签或不可变的镜像摘要引用：
 
 ```dotenv
-AUTOLIBRARY_IMAGE=autolibrary-web:<提交SHA>
+AUTOLIBRARY_IMAGE=gitea.kenanzhu.com/autolibrary/website@sha256:<镜像摘要>
 AUTOLIBRARY_CONFIG=/绝对路径/网站容器配置.json
 AUTOLIBRARY_DATA_DIR=/home/autolibrary/backend/data
 AUTOLIBRARY_LOG_DIR=/home/autolibrary/logs