1. 为什么需要Docker通关指南第一次接触Docker时我被各种晦涩的概念搞得晕头转向——镜像、容器、仓库、Dockerfile...这些名词就像一堵高墙挡在面前。直到真正理解Docker的价值才发现它其实是开发者的瑞士军刀。想象一下这样的场景新同事入职第一天你只需要给他一个Docker Compose文件就能让他的开发环境和你保持完全一致测试服务器上出现的bug在本地用相同的Docker镜像可以100%复现部署应用时再也不用担心在我机器上能跑的问题。这就是Docker带来的革命性变化。2. Docker核心概念拆解2.1 镜像与容器的本质区别很多初学者会把镜像(Image)和容器(Container)混为一谈。其实镜像更像是程序的安装包比如QQ的.exe文件而容器则是安装后正在运行的程序实例。一个镜像可以启动多个容器就像同一个QQ安装包可以在多台电脑上运行。实际操作中我常用这个类比镜像 类(class)容器 对象实例(object)Dockerfile 类的定义代码2.2 仓库的实用技巧Docker Hub虽然是默认的公共仓库但在国内直接拉取镜像经常会遇到网络问题。这里分享几个实用技巧使用国内镜像加速器在/etc/docker/daemon.json中添加{ registry-mirrors: [https://registry.docker-cn.com] }对于公司内部项目建议搭建私有仓库。Harbor是目前最成熟的企业级方案。重要镜像一定要打tag并推送到私有仓库避免依赖的公共镜像被删除导致线上事故。3. 从安装到第一个容器3.1 各平台安装避坑指南在Ubuntu上安装时切记不要用snap版本会有各种权限问题。推荐官方APT源安装# 卸载旧版本 sudo apt-get remove docker docker-engine docker.io containerd runc # 设置仓库 sudo apt-get update sudo apt-get install \ apt-transport-https \ ca-certificates \ curl \ gnupg \ lsb-release curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg # 安装引擎 sudo apt-get update sudo apt-get install docker-ce docker-ce-cli containerd.ioWindows用户注意WSL2是更好的选择比传统Docker Desktop性能更好。安装后务必在设置中启用WSL2集成。3.2 运行第一个容器的正确姿势新手常犯的错误是直接运行交互式容器然后不知所措。建议按这个流程# 先拉取镜像(明确指定版本号避免使用latest) docker pull nginx:1.21-alpine # 后台运行容器(命名并映射端口) docker run -d --name my-nginx -p 8080:80 nginx:1.21-alpine # 查看运行状态 docker ps # 测试访问 curl localhost:8080 # 查看日志 docker logs my-nginx # 进入容器检查(生产环境慎用) docker exec -it my-nginx sh关键点一定要给容器命名(--name)否则自动生成的名称很难维护端口映射时主机端口建议大于1024避免权限问题。4. Dockerfile最佳实践4.1 编写高效Dockerfile的12条军规经过上百个Dockerfile的实践我总结出这些黄金法则使用官方镜像作为基础如python:3.9-slim而非ubuntu手动安装python多阶段构建能显著减小最终镜像体积合并RUN指令减少镜像层数按照变更频率排序指令把最不常变的放在前面永远不要在生产环境使用latest标签设置WORKDIR避免路径混乱使用COPY而非ADD除非需要自动解压指定非root用户运行进程清理apt缓存等临时文件设置合理的ENTRYPOINT和CMD添加HEALTHCHECK用.dockerignore过滤不需要的文件4.2 实战案例Python应用Dockerfile下面是一个Flask应用的优化版Dockerfile# 第一阶段构建环境 FROM python:3.9 as builder WORKDIR /app COPY requirements.txt . RUN pip install --user -r requirements.txt # 第二阶段运行时环境 FROM python:3.9-slim WORKDIR /app # 从builder阶段复制已安装的包 COPY --frombuilder /root/.local /root/.local COPY . . # 确保脚本可执行 RUN chmod x entrypoint.sh # 非root用户运行 RUN useradd -m myuser chown -R myuser /app USER myuser # 路径包含用户级别的pip安装目录 ENV PATH/root/.local/bin:$PATH # 健康检查 HEALTHCHECK --interval30s --timeout3s \ CMD curl -f http://localhost:5000/health || exit 1 ENTRYPOINT [./entrypoint.sh]这个Dockerfile的特点使用多阶段构建最终镜像只有slim版本必要依赖非root用户运行增强安全性明确的健康检查接口通过entrypoint.sh处理启动逻辑比直接CMD更灵活5. 容器编排实战5.1 Docker Compose的进阶用法docker-compose.yml不是简单的容器参数堆砌合理的编排可以模拟完整生产环境。分享几个实用技巧使用extends复用配置# common.yml services: base: image: nginx restart: always # docker-compose.yml services: web1: extends: file: common.yml service: base ports: - 8080:80合理配置资源限制services: redis: image: redis deploy: resources: limits: cpus: 0.5 memory: 512M使用profiles控制环境差异services: frontend: profiles: [development] build: ./frontend mock-api: profiles: [development] image: mock-server backend: profiles: [production] image: backend-prod5.2 生产环境部署方案对于正式环境单机Docker已经不够用需要考虑容器编排Swarm简单但功能有限K8s功能强大但复杂日志收集ELK或Grafana Loki方案监控告警PrometheusAlertmanagerGranfa组合网络规划Overlay网络配置存储方案数据卷的生命周期管理推荐的分阶段演进路线开发环境Docker Compose测试环境Docker Swarm生产环境Kubernetes6. 常见问题排坑实录6.1 容器网络疑难杂症问题现象容器内无法解析域名 排查步骤检查/etc/resolv.conf内容测试直接ping IP如8.8.8.8查看docker daemon的DNS配置检查防火墙规则解决方案# 临时方案 docker run --dns 8.8.8.8 ... # 永久方案 vim /etc/docker/daemon.json { dns: [8.8.8.8, 114.114.114.114] }6.2 存储卷权限问题典型错误docker: Error response from daemon: OCI runtime create failed: container_linux.go:380: starting container process caused: process_linux.go:545: container init caused: rootfs_linux.go:76: mounting /host/path to rootfs caused: mkdir /var/lib/docker/overlay2/...: permission denied.解决方案关闭SELinux临时方案添加:z或:Z后缀docker run -v /host/path:/container/path:z ...最佳实践是预先创建volumedocker volume create myvol docker run -v myvol:/container/path ...7. 性能优化与安全加固7.1 容器性能调优文件系统选择overlay2是默认且最佳选择日志驱动配置生产环境建议json-filelogrotate{ log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }内核参数调优# 增加最大文件描述符 sysctl -w fs.file-max100000 # 容器内存限制要小于系统可用内存 docker run -m 512m ...7.2 安全加固清单镜像安全扫描docker scan image-name运行时保护禁止特权模式--privilegedfalse启用用户命名空间--usernshost限制系统调用--security-opt seccomp/path/to/profile.json网络隔离禁止容器间共享网络命名空间为敏感服务创建独立网络8. 从开发到生产的完整流程一个健壮的Docker化应用生命周期应该包含这些环节开发阶段本地Docker Compose环境代码变更自动重建镜像watch模式CI/CD流水线镜像构建与漏洞扫描多阶段测试单元测试、集成测试部署阶段蓝绿部署或金丝雀发布健康检查与自动回滚运维阶段集中式日志收集指标监控与告警定期镜像更新基础镜像安全补丁关键工具链推荐构建Docker Buildx多架构构建测试Container Structure Tests部署Kubernetes Helm Charts监控Prometheus Operator
