Docker — 容器化平台完全指南

# Linux
sudo systemctl start docker
sudo systemctl enable docker  # 开机自启

# macOS / Windows
# 启动 Docker Desktop 应用程序

# 将用户加入 docker 组
sudo usermod -aG docker $USER

# 重新登录生效（或执行）
newgrp docker

# 验证
docker ps

# 查看端口占用
sudo lsof -i :80
# 或
sudo netstat -tlnp | grep :80

# 方案 1：停止占用端口的进程
sudo kill <PID>

# 方案 2：使用其他端口
docker run -p 8080:80 nginx

# 查看当前存储驱动
docker info | grep "Storage Driver"

# 修改 /etc/docker/daemon.json
{
  "storage-driver": "overlay2"
}

# 重启 Docker
sudo systemctl restart docker

# 旧版（V1，独立安装）
docker-compose up -d

# 新版（V2，Docker CLI 插件，推荐）
docker compose up -d

# 安装 Compose 插件（如未安装）
sudo apt-get install docker-compose-plugin

# 查看版本
docker version

# 升级 Docker Engine
sudo apt-get update
sudo apt-get install docker-ce docker-ce-cli containerd.io

# 或临时降级 API 版本
export DOCKER_API_VERSION=1.39

# 确保 iptables 已安装
sudo apt-get install iptables

# 如果使用 nftables，切换到 iptables 兼容模式
sudo update-alternatives --set iptables /usr/sbin/iptables-legacy
sudo update-alternatives --set ip6tables /usr/sbin/ip6tables-legacy

# 重启 Docker
sudo systemctl restart docker

# 查看磁盘使用
df -h /var/lib/docker

# 清理 Docker 无用数据
docker system prune -a --volumes

# 迁移 Docker 数据目录到大磁盘
# 编辑 /etc/docker/daemon.json
{
  "data-root": "/mnt/large-disk/docker"
}

# 移除冲突包
sudo yum remove podman buildah

# 安装 containerd.io
sudo yum install https://download.docker.com/linux/centos/8/x86_64/stable/Packages/containerd.io-1.6.28-3.1.el8.x86_64.rpm

# 然后安装 Docker
sudo yum install docker-ce docker-ce-cli

# 编辑 /etc/docker/daemon.json
{
  "registry-mirrors": [
    "https://mirror.ccs.tencentyun.com",
    "https://docker.nju.edu.cn",
    "https://docker.mirrors.ustc.edu.cn"
  ]
}

# 重载配置并重启
sudo systemctl daemon-reload
sudo systemctl restart docker

# 验证配置
docker info | grep -A 5 "Registry Mirrors"

# .dockerignore
node_modules
.git
.env
*.log
dist
coverage
.DS_Store
__pycache__

# 错误：每次代码变化都会重新 npm install
COPY . .
RUN npm install

# 正确：只有 package.json 变化才重新安装依赖
COPY package*.json ./
RUN npm install
COPY . .

# 创建 Buildx 构建器
docker buildx create --name mybuilder --use

# 构建多平台镜像并推送
docker buildx build --platform linux/amd64,linux/arm64 -t myuser/myapp:latest --push .

# 正确写法：apt-get update 和 install 在同一个 RUN 中
RUN apt-get update && apt-get install -y \
    curl \
    git \
    && rm -rf /var/lib/apt/lists/*

# 错误写法：分开的 RUN，update 的缓存层可能过期
RUN apt-get update
RUN apt-get install -y curl  # 可能失败

# 登录 Docker Hub
docker login

# 镜像名必须包含你的用户名
docker tag my-app:latest username/my-app:latest
docker push username/my-app:latest

# 查看镜像各层大小
docker history my-app:latest

# 使用 dive 工具分析镜像
docker run --rm -it -v /var/run/docker.sock:/var/run/docker.sock wagoodman/dive my-app:latest

# 查看退出原因
docker logs my-container

# 交互式进入容器调试
docker run -it my-image /bin/sh

# 保持容器运行（调试用）
docker run -d my-image tail -f /dev/null

# 方案 1：指定 DNS 服务器
docker run --dns 8.8.8.8 my-image

# 方案 2：全局配置 DNS（/etc/docker/daemon.json）
{
  "dns": ["8.8.8.8", "114.114.114.114"]
}

# 方案 3：检查宿主机 DNS 是否正常
nslookup api.example.com

# 创建自定义网络
docker network create app-net

# 将容器加入同一网络
docker run -d --name db --network app-net mysql:8
docker run -d --name app --network app-net my-app

# 现在 app 容器可以通过 "db" 主机名访问数据库

# 方案 1：通过环境变量设置（部分镜像支持）
docker run -e TZ=Asia/Shanghai my-image

# 方案 2：挂载宿主机时区文件
docker run -v /etc/localtime:/etc/localtime:ro my-image

# 方案 3：在 Dockerfile 中设置
RUN ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
    && echo "Asia/Shanghai" > /etc/timezone

# 查看容器是否因 OOM 被杀
docker inspect my-container | grep OOMKilled

# 增加内存限制
docker run -m 1g my-image

# Docker Compose 中设置
services:
  app:
    deploy:
      resources:
        limits:
          memory: 1G

# 查看容器内运行用户
docker exec my-container whoami

# 方案 1：在 Dockerfile 中修改目录权限
RUN mkdir -p /app/data && chown -R node:node /app/data
USER node

# 方案 2：运行时指定用户 UID
docker run -u $(id -u):$(id -g) -v ./data:/app/data my-image

# 方案 3：宿主机修改目录权限
chmod -R 777 ./data  # 不推荐，仅调试用

# Docker Desktop（Mac/Windows）
# 使用特殊域名
host.docker.internal:3306

# Linux
# 方案 1：使用宿主机 IP
docker run --add-host host.docker.internal:host-gateway my-image

# 方案 2：使用 host 网络模式
docker run --network host my-image

# /etc/docker/daemon.json
{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}

# 对单个容器限制
docker run --log-opt max-size=10m --log-opt max-file=3 my-image

# 清空已有容器的日志
truncate -s 0 /var/lib/docker/containers/<container-id>/*-json.log

# Alpine 镜像使用 sh
docker exec -it my-container /bin/sh

# 或安装 bash
docker exec -it my-container apk add bash

# distroless 镜像没有任何 shell
# 使用 debug 版本：gcr.io/distroless/base:debug

# 错误：没有挂载卷，数据在容器内
docker run -d mysql:8

# 正确：使用命名卷持久化数据
docker run -d -v mysql_data:/var/lib/mysql mysql:8

# Docker Compose 中
services:
  db:
    image: mysql:8
    volumes:
      - mysql_data:/var/lib/mysql
volumes:
  mysql_data:  # 声明命名卷

# /etc/docker/daemon.json 自定义地址池
{
  "default-address-pools": [
    {"base": "10.200.0.0/16", "size": 24}
  ],
  "bip": "10.200.0.1/24"
}

# 启用 IP 转发
sudo sysctl -w net.ipv4.ip_forward=1

# 检查 iptables FORWARD 链
sudo iptables -L FORWARD -n

# 重启 Docker 重建网络规则
sudo systemctl restart docker

# docker-compose.yml 使用健康检查等待
services:
  backend:
    depends_on:
      db:
        condition: service_healthy
  db:
    image: postgres:16
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U postgres"]
      interval: 5s
      timeout: 5s
      retries: 5

# 命名卷（保留容器原有内容）
docker run -v my-vol:/app/node_modules my-image

# 绑定挂载 + 匿名卷保护（常见于 node_modules）
docker run -v $(pwd):/app -v /app/node_modules my-image

# 方案 1：使用 docker cp 导出数据
docker run --rm -v my-vol:/data -v $(pwd):/backup alpine \
  tar czf /backup/volume-backup.tar.gz -C /data .

# 在新服务器上恢复
docker run --rm -v my-vol:/data -v $(pwd):/backup alpine \
  tar xzf /backup/volume-backup.tar.gz -C /data

# 方案 2：使用 rsync 同步命名卷目录
rsync -avz /var/lib/docker/volumes/my-vol/ user@newserver:/var/lib/docker/volumes/my-vol/

# 方案 1：禁止 Docker 修改 iptables
# /etc/docker/daemon.json
{
  "iptables": false
}

# 方案 2：绑定到 127.0.0.1（只允许本机访问）
docker run -p 127.0.0.1:8080:80 nginx

# 方案 3：使用 DOCKER-USER 链添加规则
sudo iptables -I DOCKER-USER -i eth0 -p tcp --dport 8080 -j DROP

# 查看占用详情
docker system df -v

# 清理悬空镜像层
docker image prune

# 清理所有未使用资源
docker system prune -a

# 查看每个镜像占用
docker images --format "{{.Repository}}:{{.Tag}} {{.Size}}" | sort -k2 -h

# Git Bash / MSYS2 中使用双斜杠
docker run -v //c/Users/me/project:/app my-image

# PowerShell 中使用 ${PWD}
docker run -v ${PWD}:/app my-image

# WSL 2 中使用 Linux 路径（推荐）
docker run -v /mnt/c/Users/me/project:/app my-image

# macOS 优化挂载性能
docker run -v $(pwd):/app:cached my-image

# 不暴露端口到宿主机，通过 Traefik 代理
services:
  app:
    labels:
      - "traefik.http.routers.app.rule=Host(`app.localhost`)"

# 限制使用 1 个 CPU 核心
docker run --cpus=1 my-image

# 限制 CPU 权重（相对优先级）
docker run --cpu-shares=512 my-image

# 查看容器资源使用情况
docker stats

# Docker Compose 限制
services:
  app:
    deploy:
      resources:
        limits:
          cpus: '1.0'
          memory: 512M

[wsl2]
memory=2GB
processors=2

# 只启动 dev 组的服务
docker compose --profile dev up -d

# 实时资源监控
docker stats my-container

# 查看容器内进程
docker top my-container

# 查看容器详细配置
docker inspect my-container

# 查看容器文件系统变化（与镜像的差异）
docker diff my-container

# 将运行中的容器导出为镜像（调试快照）
docker commit my-container debug-snapshot:latest

# 使用 nsenter 进入容器的网络命名空间
nsenter -t $(docker inspect -f '{{.State.Pid}}' my-container) -n ip addr

# node_modules 使用命名卷避免跨系统挂载
services:
  app:
    volumes:
      - .:/app              # 源代码绑定挂载
      - node_modules:/app/node_modules  # 依赖用命名卷
volumes:
  node_modules:

# Node.js 示例
process.on('SIGTERM', () => {
  console.log('收到 SIGTERM，优雅关闭...');
  server.close(() => process.exit(0));
});

# 正确：exec 格式，信号直接传递给应用
CMD ["node", "server.js"]

# 错误：shell 格式，信号传给 /bin/sh，应用收不到
CMD node server.js

# 创建 macvlan 网络（高性能场景）
docker network create -d macvlan \
  --subnet=192.168.1.0/24 \
  --gateway=192.168.1.1 \
  -o parent=eth0 \
  high-perf-net

# 方案 1：创建容器时指定
docker run -d --restart unless-stopped my-image

# 方案 2：修改已有容器
docker update --restart unless-stopped my-container

# 方案 3：Docker Compose
services:
  app:
    restart: unless-stopped