在项目开发和运维过程中你是否遇到过“在我机器上能跑”的尴尬或是为了一致的环境配置而耗费大量时间Docker 的出现正是为了解决这些痛点。它通过容器化技术将应用及其依赖打包成一个标准、轻量的运行单元实现了“一次构建处处运行”的梦想。本文将带你从零开始系统性地掌握 Docker 的核心概念、安装部署、日常操作到项目实战无论你是刚入门的新手还是希望深化理解的开发者都能从中获得一套完整、可复现的 Docker 专业使用指南。1. Docker 核心概念与价值在深入学习具体操作之前理解 Docker 的几个核心概念至关重要。这能帮助你在后续遇到问题时从原理层面进行分析而不仅仅是记忆命令。1.1 容器与虚拟机的本质区别很多人初学 Docker 时会将其与虚拟机VM混淆。虽然它们都提供了隔离的运行环境但底层架构和资源消耗截然不同。虚拟机在物理硬件之上通过一个称为“Hypervisor”的中间层虚拟出完整的操作系统Guest OS。每个 VM 都包含一整套操作系统、应用和依赖库。这种方式隔离性极强但资源占用大每个 VM 都需要数 GB 到数十 GB 磁盘空间启动速度慢分钟级。容器它直接运行在宿主机的操作系统内核之上通过 Docker 引擎提供的进程隔离、文件系统隔离等技术为应用创建一个独立的“沙箱”。容器共享宿主机的内核只包含应用运行所需的文件和依赖。因此容器极其轻量通常为 MB 级启动迅速秒级。简单来说虚拟机是“硬件虚拟化”而容器是“操作系统层虚拟化”。Docker 容器更适合于打包和交付单个微服务应用。1.2 Docker 核心组件解析Docker 的运作依赖于以下几个核心组件Docker 镜像Image一个只读的模板包含了运行应用所需的代码、运行时环境、系统工具、库和设置。你可以把它理解为一个应用程序的“安装包”或“构建说明书”。镜像是创建容器的基础。Docker 容器Container镜像的一个运行实例。你可以创建、启动、停止、移动或删除容器。容器是真正运行应用的地方它是可写的并且是临时的。Docker 仓库Registry集中存放镜像的地方。最著名的公共仓库是 Docker Hub 你可以从中拉取pull官方或社区维护的镜像也可以将你自己构建的镜像推送push上去进行分享。企业内网通常会搭建私有仓库如 Harbor。Dockerfile一个文本文件里面包含了一系列的指令Instruction用于指导 Docker 如何自动构建一个镜像。它是实现“基础设施即代码”的关键。它们之间的关系可以概括为编写 Dockerfile - 构建Build成镜像 - 推送Push到仓库 - 拉取Pull镜像 - 运行Run成容器。1.3 为什么需要 Docker掌握 Docker 能为开发和运维带来革命性的效率提升环境一致性从开发到测试再到生产保证应用运行环境完全一致彻底杜绝“环境差异”导致的问题。快速部署与扩展容器秒级启动结合编排工具如 Kubernetes可以轻松实现应用的快速部署、回滚和水平扩展。资源高效利用更高的服务器密度同样的硬件可以运行更多的应用实例。简化配置将环境配置固化在镜像中无需在每台服务器上重复配置。微服务架构的基石每个微服务可以独立打包成容器便于独立开发、部署和伸缩。2. 环境准备与安装部署Docker 支持在多种操作系统上运行。下面我们将分别介绍在 Linux以 Ubuntu 为例、Windows 和 macOS 上的安装方法。请根据你的系统选择对应的章节。2.1 Linux (Ubuntu) 安装 Docker Engine在 Linux 系统上我们通常安装 Docker Engine社区版。以下是在 Ubuntu 22.04 LTS 上的安装步骤。首先更新系统包索引并安装必要的依赖sudo apt-get update sudo apt-get install -y ca-certificates curl gnupg lsb-release添加 Docker 的官方 GPG 密钥和稳定版仓库# 创建 keyring 目录 sudo mkdir -p /etc/apt/keyrings # 下载并导入 GPG 密钥 curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg # 添加仓库 echo \ deb [arch$(dpkg --print-architecture) signed-by/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \ $(lsb_release -cs) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null更新包索引并安装 Docker Engine、CLI 等组件sudo apt-get update sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin验证安装是否成功运行 hello-world 镜像sudo docker run hello-world如果看到 “Hello from Docker!” 等欢迎信息说明安装成功。重要管理 Docker 作为非 root 用户默认情况下运行docker命令需要sudo权限。为了避免每次输入sudo可以将当前用户加入docker用户组sudo usermod -aG docker $USER执行此命令后需要注销并重新登录或者重启系统才能使组权限生效。2.2 Windows / macOS 安装 Docker Desktop对于 Windows 和 macOS 用户官方提供了集成的 Docker Desktop 应用它包含了 Docker Engine、CLI、Docker Compose 和图形化管理界面。Windows 安装前提Windows 10/11 专业版、企业版或教育版需要开启 Hyper-V 和 Windows 子系统WSL 2。Docker Desktop 安装程序通常会引导你完成这些设置。Windows 10/11 家庭版需要先安装 WSL 2然后 Docker Desktop 会使用 WSL 2 作为后端。macOS 安装前提搭载 Intel 芯片或 Apple Silicon (M1/M2) 的 Mac。macOS 版本需满足 Docker Desktop 的要求。安装步骤访问 Docker 官网的 Docker Desktop 下载页面 。根据你的操作系统Windows 或 macOS和芯片架构Intel/AMD 或 Apple Silicon下载对应的安装包。运行安装程序并按照向导提示完成安装。在 Windows 上安装程序可能会提示你启用 WSL 2 或 Hyper-V请同意。安装完成后启动 Docker Desktop。首次启动可能需要几分钟进行初始化。验证安装 打开终端Windows 可用 PowerShell 或 WSL 终端macOS 用 Terminal输入docker --version docker run hello-world如果能正确显示版本号和运行 hello-world 容器则安装成功。常见启动问题虚拟化支持未检测到在 Windows 上如果启动 Docker Desktop 时遇到类似 “Docker Desktop failed to start because virtualization support wasn‘t detected” 的错误通常是因为BIOS/UEFI 中未开启虚拟化技术Intel VT-x / AMD-V需要重启电脑进入 BIOS 设置找到相关选项如Virtualization Technology,VT-x,SVM Mode并启用。Hyper-V 或 WSL 2 未启用在 Windows “启用或关闭 Windows 功能” 中确保勾选了 “Hyper-V” 和 “适用于 Linux 的 Windows 子系统”。对于家庭版需确保 WSL 2 已正确安装并设置为默认版本。2.3 配置国内镜像加速器从 Docker Hub 拉取镜像在国内可能速度较慢。我们可以配置国内镜像加速器来提升下载速度。Linux 系统配置 编辑或创建 Docker 守护进程配置文件/etc/docker/daemon.jsonsudo tee /etc/docker/daemon.json -EOF { registry-mirrors: [ https://docker.mirrors.ustc.edu.cn, https://hub-mirror.c.163.com, https://mirror.baidubce.com ] } EOF然后重启 Docker 服务使配置生效sudo systemctl daemon-reload sudo systemctl restart dockerDocker Desktop 配置打开 Docker Desktop点击设置Settings。选择Docker Engine。在右侧的 JSON 配置窗口中在已有的配置对象内添加registry-mirrors数组内容同上。点击Apply Restart。验证加速器是否生效docker info在输出信息中你应该能看到Registry Mirrors下列出了你配置的镜像地址。3. Docker 基础命令与核心操作安装好 Docker 后我们通过一系列命令来与之交互。这些命令是日常使用 Docker 的基石。3.1 镜像Image相关命令镜像是容器的基础。所有镜像操作都围绕docker image或更简短的docker子命令展开。搜索镜像在 Docker Hub 上查找镜像。docker search nginx拉取镜像从仓库下载镜像到本地。不指定标签时默认拉取latest。docker pull nginx:alpine # 拉取轻量版的 nginx 镜像 docker pull mysql:8.0 # 拉取特定版本的 mysql列出本地镜像docker images # 或 docker image ls删除本地镜像使用镜像 ID 或镜像名:标签。如果镜像正在被容器使用需要先删除容器。docker rmi image_id docker rmi nginx:alpine # 强制删除即使有容器使用 # docker rmi -f image_id查看镜像详情docker inspect image_id3.2 容器Container相关命令容器是镜像的运行实例是工作的核心。运行容器docker run是最重要的命令它从镜像创建并启动一个新容器。# 基本运行-d 后台运行--name 指定容器名 docker run -d --name my_nginx nginx:alpine # 映射端口-p 宿主机端口:容器端口 docker run -d --name web -p 8080:80 nginx:alpine # 访问 http://localhost:8080 # 挂载数据卷-v 宿主机目录:容器目录 docker run -d --name mysql_db \ -p 3306:3306 \ -v /my/own/datadir:/var/lib/mysql \ -e MYSQL_ROOT_PASSWORDmy-secret-pw \ mysql:8.0 # 交互式运行并进入容器-it docker run -it --name my_alpine alpine:latest /bin/sh列出容器docker ps # 查看正在运行的容器 docker ps -a # 查看所有容器包括已停止的启动/停止/重启容器docker start container_id_or_name docker stop container_id_or_name # 优雅停止 docker restart container_id_or_name docker kill container_id_or_name # 强制停止进入运行中的容器docker exec -it container_id_or_name /bin/bash # 例如进入 nginx 容器 docker exec -it my_nginx /bin/sh查看容器日志docker logs container_id_or_name docker logs -f container_id_or_name # 实时跟踪日志删除容器docker rm container_id_or_name docker rm -f container_id_or_name # 强制删除运行中的容器查看容器详情docker inspect container_id_or_name3.3 数据卷Volume与网络Network为了持久化数据和容器间通信需要理解数据卷和网络。数据卷用于持久化容器产生的数据或者在不同容器间共享数据。即使容器被删除数据卷依然存在。# 创建一个命名的数据卷 docker volume create my_volume # 运行容器并使用数据卷 docker run -d --name db \ -v my_volume:/var/lib/mysql \ mysql:8.0 # 查看所有数据卷 docker volume ls # 删除未使用的数据卷 docker volume prune网络Docker 提供了多种网络驱动默认创建bridge网络。同一网络内的容器可以通过容器名互相访问。# 创建一个自定义桥接网络 docker network create my_network # 运行两个容器并加入同一网络 docker run -d --name web --network my_network nginx:alpine docker run -it --name client --network my_network alpine:latest # 在 client 容器内可以 ping web ping web # 查看网络列表 docker network ls4. 使用 Dockerfile 构建自定义镜像仅仅使用现成的镜像是不够的。我们需要将自己的应用打包成镜像这就需要编写 Dockerfile。4.1 Dockerfile 指令详解一个典型的 Dockerfile 由一系列指令构成每条指令都会在镜像中创建一个新的层。FROM指定基础镜像必须是第一条指令。FROM openjdk:11-jre-slim # 基于轻量级 JRE FROM python:3.9-slim FROM nginx:alpineWORKDIR设置工作目录后续的RUN,CMD,COPY等指令都会在此目录下执行。WORKDIR /appCOPY / ADD将宿主机文件复制到镜像中。ADD比COPY功能多支持自动解压和远程 URL但推荐使用更明确的COPY。COPY target/myapp.jar app.jar COPY requirements.txt .RUN在构建镜像时执行的命令常用于安装软件包、编译代码等。RUN apt-get update apt-get install -y curl RUN pip install -r requirements.txtENV设置环境变量。ENV APP_HOME/app ENV JAVA_OPTS-Xmx512mEXPOSE声明容器运行时监听的端口只是一个文档性说明实际映射需要在docker run时用-p指定。EXPOSE 8080CMD指定容器启动时默认执行的命令。一个 Dockerfile 中只能有一条CMD指令如果有多条则只有最后一条生效。通常用于运行应用。CMD [java, -jar, app.jar] CMD [nginx, -g, daemon off;]CMD有三种格式CMD [executable,param1,param2](exec 格式推荐)CMD [param1,param2](作为 ENTRYPOINT 的默认参数)CMD command param1 param2(shell 格式)ENTRYPOINT与CMD类似但优先级更高。docker run命令行中指定的参数会被追加到ENTRYPOINT之后。常用于让镜像像一个可执行文件。ENTRYPOINT [java, -jar] CMD [app.jar] # 运行 docker run myimage other.jar 时实际执行 java -jar other.jar4.2 实战构建一个 Spring Boot 应用镜像假设我们有一个简单的 Spring Boot 应用打包后为demo-0.0.1-SNAPSHOT.jar。项目结构springboot-demo/ ├── Dockerfile ├── target/ │ └── demo-0.0.1-SNAPSHOT.jar └── (其他源码文件)编写 Dockerfile 在项目根目录创建Dockerfile文件内容如下# 使用官方 OpenJDK 11 运行时作为父镜像 FROM openjdk:11-jre-slim # 设置工作目录 WORKDIR /app # 将 jar 文件复制到容器内的 /app 目录下 # 这里假设 jar 包在 target 目录构建上下文是项目根目录 COPY target/demo-0.0.1-SNAPSHOT.jar app.jar # 暴露应用端口Spring Boot 默认 8080 EXPOSE 8080 # 指定容器启动时运行的命令 ENTRYPOINT [java, -jar, app.jar]构建镜像 在包含Dockerfile的目录下执行构建命令。-t参数用于给镜像打标签。docker build -t my-spring-app:1.0 . # 注意最后的 . 表示当前目录是构建上下文运行容器docker run -d --name myapp -p 8080:8080 my-spring-app:1.0访问http://localhost:8080即可看到应用。4.3 .dockerignore 文件类似于.gitignore.dockerignore文件用于排除在构建上下文docker build时指定的目录中不需要发送给 Docker 守护进程的文件和目录可以加速构建过程并减小镜像体积。示例.dockerignore# 忽略 git 相关 .git/ .gitignore # 忽略 IDE 文件 .vscode/ .idea/ *.iml # 忽略日志和编译输出 logs/ *.log target/ build/ out/ # 忽略本地配置文件生产环境通常从外部注入 *.properties *.yml !application-prod.yml # 使用 ! 表示例外5. Docker Compose多容器应用编排当应用由多个服务如 Web 前端、后端 API、数据库、缓存组成时手动使用docker run管理每个容器非常繁琐。Docker Compose 通过一个 YAML 文件来定义和运行多容器应用。5.1 docker-compose.yml 文件结构一个典型的docker-compose.yml文件包含以下部分version: 3.8 # 指定 Compose 文件格式版本 services: # 定义所有服务 web: # 服务名称 build: . # 基于当前目录的 Dockerfile 构建镜像 ports: - 8080:80 depends_on: - db environment: - DATABASE_URLjdbc:mysql://db:3306/mydb volumes: - ./app:/usr/share/nginx/html db: image: mysql:8.0 environment: MYSQL_ROOT_PASSWORD: secret MYSQL_DATABASE: mydb volumes: - db_data:/var/lib/mysql # 健康检查确保 db 就绪后 web 才启动 healthcheck: test: [CMD, mysqladmin, ping, -h, localhost] timeout: 20s retries: 10 volumes: # 定义数据卷供多个服务共享 db_data:5.2 实战编排一个 WordPress 博客系统WordPress 需要一个 Web 服务器WordPress 镜像和一个数据库MySQL 镜像。创建项目目录并编写 docker-compose.ymlmkdir my-wordpress cd my-wordpress创建docker-compose.yml文件version: 3.8 services: db: image: mysql:8.0 volumes: - db_data:/var/lib/mysql restart: always environment: MYSQL_ROOT_PASSWORD: somewordpress MYSQL_DATABASE: wordpress MYSQL_USER: wordpress MYSQL_PASSWORD: wordpress wordpress: depends_on: - db image: wordpress:latest ports: - 8000:80 restart: always environment: WORDPRESS_DB_HOST: db:3306 WORDPRESS_DB_USER: wordpress WORDPRESS_DB_PASSWORD: wordpress WORDPRESS_DB_NAME: wordpress volumes: - wp_data:/var/www/html volumes: db_data: wp_data:启动所有服务docker-compose up -d-d表示在后台运行。查看服务状态docker-compose ps查看日志docker-compose logs -f wordpress # 查看 wordpress 服务日志停止并清理docker-compose down # 如果想同时删除数据卷使用 # docker-compose down -v现在访问http://localhost:8000就可以开始 WordPress 的安装向导了。5.3 Docker Compose 常用命令# 启动所有服务在前台运行查看日志 docker-compose up # 启动所有服务后台运行 docker-compose up -d # 停止并移除所有容器、网络默认保留数据卷 docker-compose down # 停止并移除所有容器、网络、数据卷 docker-compose down -v # 查看服务状态 docker-compose ps # 查看服务日志 docker-compose logs docker-compose logs -f service_name # 跟踪特定服务日志 # 在运行中的服务容器内执行命令 docker-compose exec service_name bash # 构建或重新构建服务镜像 docker-compose build docker-compose build service_name # 拉取服务依赖的镜像 docker-compose pull6. 常见问题与排查思路在使用 Docker 的过程中你可能会遇到各种问题。下面是一些常见问题的排查思路。问题现象可能原因排查步骤与解决方案docker: command not foundDocker 未安装或未正确加入 PATH。1. 确认 Docker 已安装 (which docker)。2. 在 Linux 上确认当前用户是否在docker组或使用sudo。Cannot connect to the Docker daemonDocker 服务未启动或当前用户无权限。1. Linux:sudo systemctl status docker检查服务状态sudo systemctl start docker启动。2. Windows/macOS: 确保 Docker Desktop 已运行。3. Linux: 将用户加入docker组并重新登录。port is already allocated宿主机端口已被其他进程占用。1.netstat -tulpn | grep :端口号查看占用进程。2. 停止占用进程或修改docker run -p映射的宿主机端口。容器启动后立即退出容器内主进程执行完毕或出错。1.docker logs 容器名查看退出前的日志。2. 检查 Dockerfile 中的CMD或ENTRYPOINT是否正确。3. 尝试以交互模式运行docker run -it ... sh进入容器排查。镜像拉取失败Error response from daemon网络问题或镜像名/标签不存在。1. 检查网络连接。2. 配置国内镜像加速器。3. 确认镜像名和标签拼写正确 (docker search)。4. 对于私有镜像需要先docker login。数据卷挂载后容器内文件消失挂载的宿主机目录覆盖了容器内的原有目录。这是预期行为。如果需要在挂载时保留容器内的默认文件可以先运行一个临时容器将文件复制到宿主机目录再挂载。容器内无法解析域名容器的 DNS 配置有问题。1. 检查宿主机的 DNS 设置。2. 运行容器时指定 DNS--dns 8.8.8.8。3. 在docker-compose.yml或 Docker 守护进程配置中设置 DNS。docker build构建缓慢网络慢或构建上下文过大。1. 使用.dockerignore文件排除不必要的文件。2. 合理利用构建缓存将不常变的指令如安装依赖放在 Dockerfile 前面。通用排查流程看日志docker logs 容器名永远是第一步。进容器docker exec -it 容器名 sh/bash进入容器内部检查进程、文件、网络。查状态docker inspect 容器名查看容器的详细配置、网络、挂载等信息。简化复现尝试用最简化的命令或配置重现问题排除其他干扰因素。7. 最佳实践与进阶指南遵循最佳实践可以让你构建出更安全、高效和可维护的 Docker 应用。7.1 镜像构建最佳实践使用多阶段构建对于需要编译的应用如 Go, Java在第一个阶段编译在第二个阶段只复制编译好的产物到一个小体积的基础镜像中可以极大减小最终镜像体积。# 第一阶段构建 FROM maven:3.8-openjdk-11 AS builder WORKDIR /app COPY src ./src COPY pom.xml . RUN mvn clean package -DskipTests # 第二阶段运行 FROM openjdk:11-jre-slim WORKDIR /app COPY --frombuilder /app/target/myapp.jar app.jar EXPOSE 8080 ENTRYPOINT [java, -jar, app.jar]一个容器一个进程每个容器应该只运行一个主进程。这便于管理、日志收集和水平扩展。使用非 root 用户运行默认情况下容器以 root 运行存在安全风险。在 Dockerfile 中创建并使用非 root 用户。RUN groupadd -r appuser useradd -r -g appuser appuser USER appuser合理利用构建缓存Docker 按层缓存将不经常变化的指令如安装系统包放在前面经常变化的指令如复制源码放在后面。扫描镜像安全漏洞使用docker scan image_name或集成 Trivy、Anchore 等工具到 CI/CD 流程中检查镜像中的已知漏洞。7.2 容器运行与运维最佳实践限制容器资源使用-m,--cpus等参数限制容器的内存和 CPU 使用防止单个容器耗尽主机资源。docker run -d --name myapp -m 512m --cpus1.5 my-image使用重启策略通过--restart指定容器的重启策略如always,unless-stopped确保服务在异常退出后能自动恢复。docker run -d --restartalways nginx日志管理配置 Docker 的日志驱动如json-file,syslog,journald和日志轮转策略避免日志占满磁盘。// /etc/docker/daemon.json { log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }数据持久化策略对于数据库等有状态服务必须使用命名数据卷或绑定挂载到宿主机特定目录。避免将重要数据存储在容器的可写层容器删除后数据会丢失。定期备份数据卷。网络隔离为不同的应用项目创建独立的 Docker 网络实现网络层面的隔离。7.3 进阶学习方向掌握了 Docker 的基础和最佳实践后你可以向以下方向深入容器编排学习Kubernetes (K8s)或Docker Swarm管理成百上千的容器集群实现自动化部署、扩缩容和服务发现。CI/CD 集成将 Docker 集成到 Jenkins、GitLab CI、GitHub Actions 等持续集成/持续部署流程中实现自动化构建、测试和推送镜像。私有镜像仓库搭建企业级私有仓库如Harbor用于安全地存储和管理自己的镜像并集成漏洞扫描、权限控制等功能。监控与日志使用Prometheus监控容器和主机的性能指标使用Grafana进行可视化使用ELK Stack或Loki集中管理容器日志。安全加固深入学习容器安全包括镜像安全扫描、运行时安全、Seccomp、AppArmor/SELinux 配置、最小权限原则等。Docker 已经成为现代软件开发和运维的标准工具之一。从理解容器化思想到熟练使用命令和 Dockerfile再到运用 Compose 编排复杂应用每一步都扎实地提升了你的工程效率。记住实践是最好的老师尝试将自己的项目容器化并逐步应用到开发、测试流程中你会更深刻地体会到它带来的价值。如果在实践中遇到问题善用官方文档、社区和搜索引擎大部分问题都有成熟的解决方案。
在项目开发和运维过程中你是否遇到过“在我机器上能跑”的尴尬或是为了一致的环境配置而耗费大量时间Docker 的出现正是为了解决这些痛点。它通过容器化技术将应用及其依赖打包成一个标准、轻量的运行单元实现了“一次构建处处运行”的梦想。本文将带你从零开始系统性地掌握 Docker 的核心概念、安装部署、日常操作到项目实战无论你是刚入门的新手还是希望深化理解的开发者都能从中获得一套完整、可复现的 Docker 专业使用指南。1. Docker 核心概念与价值在深入学习具体操作之前理解 Docker 的几个核心概念至关重要。这能帮助你在后续遇到问题时从原理层面进行分析而不仅仅是记忆命令。1.1 容器与虚拟机的本质区别很多人初学 Docker 时会将其与虚拟机VM混淆。虽然它们都提供了隔离的运行环境但底层架构和资源消耗截然不同。虚拟机在物理硬件之上通过一个称为“Hypervisor”的中间层虚拟出完整的操作系统Guest OS。每个 VM 都包含一整套操作系统、应用和依赖库。这种方式隔离性极强但资源占用大每个 VM 都需要数 GB 到数十 GB 磁盘空间启动速度慢分钟级。容器它直接运行在宿主机的操作系统内核之上通过 Docker 引擎提供的进程隔离、文件系统隔离等技术为应用创建一个独立的“沙箱”。容器共享宿主机的内核只包含应用运行所需的文件和依赖。因此容器极其轻量通常为 MB 级启动迅速秒级。简单来说虚拟机是“硬件虚拟化”而容器是“操作系统层虚拟化”。Docker 容器更适合于打包和交付单个微服务应用。1.2 Docker 核心组件解析Docker 的运作依赖于以下几个核心组件Docker 镜像Image一个只读的模板包含了运行应用所需的代码、运行时环境、系统工具、库和设置。你可以把它理解为一个应用程序的“安装包”或“构建说明书”。镜像是创建容器的基础。Docker 容器Container镜像的一个运行实例。你可以创建、启动、停止、移动或删除容器。容器是真正运行应用的地方它是可写的并且是临时的。Docker 仓库Registry集中存放镜像的地方。最著名的公共仓库是 Docker Hub 你可以从中拉取pull官方或社区维护的镜像也可以将你自己构建的镜像推送push上去进行分享。企业内网通常会搭建私有仓库如 Harbor。Dockerfile一个文本文件里面包含了一系列的指令Instruction用于指导 Docker 如何自动构建一个镜像。它是实现“基础设施即代码”的关键。它们之间的关系可以概括为编写 Dockerfile - 构建Build成镜像 - 推送Push到仓库 - 拉取Pull镜像 - 运行Run成容器。1.3 为什么需要 Docker掌握 Docker 能为开发和运维带来革命性的效率提升环境一致性从开发到测试再到生产保证应用运行环境完全一致彻底杜绝“环境差异”导致的问题。快速部署与扩展容器秒级启动结合编排工具如 Kubernetes可以轻松实现应用的快速部署、回滚和水平扩展。资源高效利用更高的服务器密度同样的硬件可以运行更多的应用实例。简化配置将环境配置固化在镜像中无需在每台服务器上重复配置。微服务架构的基石每个微服务可以独立打包成容器便于独立开发、部署和伸缩。2. 环境准备与安装部署Docker 支持在多种操作系统上运行。下面我们将分别介绍在 Linux以 Ubuntu 为例、Windows 和 macOS 上的安装方法。请根据你的系统选择对应的章节。2.1 Linux (Ubuntu) 安装 Docker Engine在 Linux 系统上我们通常安装 Docker Engine社区版。以下是在 Ubuntu 22.04 LTS 上的安装步骤。首先更新系统包索引并安装必要的依赖sudo apt-get update sudo apt-get install -y ca-certificates curl gnupg lsb-release添加 Docker 的官方 GPG 密钥和稳定版仓库# 创建 keyring 目录 sudo mkdir -p /etc/apt/keyrings # 下载并导入 GPG 密钥 curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg # 添加仓库 echo \ deb [arch$(dpkg --print-architecture) signed-by/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu \ $(lsb_release -cs) stable | sudo tee /etc/apt/sources.list.d/docker.list /dev/null更新包索引并安装 Docker Engine、CLI 等组件sudo apt-get update sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin验证安装是否成功运行 hello-world 镜像sudo docker run hello-world如果看到 “Hello from Docker!” 等欢迎信息说明安装成功。重要管理 Docker 作为非 root 用户默认情况下运行docker命令需要sudo权限。为了避免每次输入sudo可以将当前用户加入docker用户组sudo usermod -aG docker $USER执行此命令后需要注销并重新登录或者重启系统才能使组权限生效。2.2 Windows / macOS 安装 Docker Desktop对于 Windows 和 macOS 用户官方提供了集成的 Docker Desktop 应用它包含了 Docker Engine、CLI、Docker Compose 和图形化管理界面。Windows 安装前提Windows 10/11 专业版、企业版或教育版需要开启 Hyper-V 和 Windows 子系统WSL 2。Docker Desktop 安装程序通常会引导你完成这些设置。Windows 10/11 家庭版需要先安装 WSL 2然后 Docker Desktop 会使用 WSL 2 作为后端。macOS 安装前提搭载 Intel 芯片或 Apple Silicon (M1/M2) 的 Mac。macOS 版本需满足 Docker Desktop 的要求。安装步骤访问 Docker 官网的 Docker Desktop 下载页面 。根据你的操作系统Windows 或 macOS和芯片架构Intel/AMD 或 Apple Silicon下载对应的安装包。运行安装程序并按照向导提示完成安装。在 Windows 上安装程序可能会提示你启用 WSL 2 或 Hyper-V请同意。安装完成后启动 Docker Desktop。首次启动可能需要几分钟进行初始化。验证安装 打开终端Windows 可用 PowerShell 或 WSL 终端macOS 用 Terminal输入docker --version docker run hello-world如果能正确显示版本号和运行 hello-world 容器则安装成功。常见启动问题虚拟化支持未检测到在 Windows 上如果启动 Docker Desktop 时遇到类似 “Docker Desktop failed to start because virtualization support wasn‘t detected” 的错误通常是因为BIOS/UEFI 中未开启虚拟化技术Intel VT-x / AMD-V需要重启电脑进入 BIOS 设置找到相关选项如Virtualization Technology,VT-x,SVM Mode并启用。Hyper-V 或 WSL 2 未启用在 Windows “启用或关闭 Windows 功能” 中确保勾选了 “Hyper-V” 和 “适用于 Linux 的 Windows 子系统”。对于家庭版需确保 WSL 2 已正确安装并设置为默认版本。2.3 配置国内镜像加速器从 Docker Hub 拉取镜像在国内可能速度较慢。我们可以配置国内镜像加速器来提升下载速度。Linux 系统配置 编辑或创建 Docker 守护进程配置文件/etc/docker/daemon.jsonsudo tee /etc/docker/daemon.json -EOF { registry-mirrors: [ https://docker.mirrors.ustc.edu.cn, https://hub-mirror.c.163.com, https://mirror.baidubce.com ] } EOF然后重启 Docker 服务使配置生效sudo systemctl daemon-reload sudo systemctl restart dockerDocker Desktop 配置打开 Docker Desktop点击设置Settings。选择Docker Engine。在右侧的 JSON 配置窗口中在已有的配置对象内添加registry-mirrors数组内容同上。点击Apply Restart。验证加速器是否生效docker info在输出信息中你应该能看到Registry Mirrors下列出了你配置的镜像地址。3. Docker 基础命令与核心操作安装好 Docker 后我们通过一系列命令来与之交互。这些命令是日常使用 Docker 的基石。3.1 镜像Image相关命令镜像是容器的基础。所有镜像操作都围绕docker image或更简短的docker子命令展开。搜索镜像在 Docker Hub 上查找镜像。docker search nginx拉取镜像从仓库下载镜像到本地。不指定标签时默认拉取latest。docker pull nginx:alpine # 拉取轻量版的 nginx 镜像 docker pull mysql:8.0 # 拉取特定版本的 mysql列出本地镜像docker images # 或 docker image ls删除本地镜像使用镜像 ID 或镜像名:标签。如果镜像正在被容器使用需要先删除容器。docker rmi image_id docker rmi nginx:alpine # 强制删除即使有容器使用 # docker rmi -f image_id查看镜像详情docker inspect image_id3.2 容器Container相关命令容器是镜像的运行实例是工作的核心。运行容器docker run是最重要的命令它从镜像创建并启动一个新容器。# 基本运行-d 后台运行--name 指定容器名 docker run -d --name my_nginx nginx:alpine # 映射端口-p 宿主机端口:容器端口 docker run -d --name web -p 8080:80 nginx:alpine # 访问 http://localhost:8080 # 挂载数据卷-v 宿主机目录:容器目录 docker run -d --name mysql_db \ -p 3306:3306 \ -v /my/own/datadir:/var/lib/mysql \ -e MYSQL_ROOT_PASSWORDmy-secret-pw \ mysql:8.0 # 交互式运行并进入容器-it docker run -it --name my_alpine alpine:latest /bin/sh列出容器docker ps # 查看正在运行的容器 docker ps -a # 查看所有容器包括已停止的启动/停止/重启容器docker start container_id_or_name docker stop container_id_or_name # 优雅停止 docker restart container_id_or_name docker kill container_id_or_name # 强制停止进入运行中的容器docker exec -it container_id_or_name /bin/bash # 例如进入 nginx 容器 docker exec -it my_nginx /bin/sh查看容器日志docker logs container_id_or_name docker logs -f container_id_or_name # 实时跟踪日志删除容器docker rm container_id_or_name docker rm -f container_id_or_name # 强制删除运行中的容器查看容器详情docker inspect container_id_or_name3.3 数据卷Volume与网络Network为了持久化数据和容器间通信需要理解数据卷和网络。数据卷用于持久化容器产生的数据或者在不同容器间共享数据。即使容器被删除数据卷依然存在。# 创建一个命名的数据卷 docker volume create my_volume # 运行容器并使用数据卷 docker run -d --name db \ -v my_volume:/var/lib/mysql \ mysql:8.0 # 查看所有数据卷 docker volume ls # 删除未使用的数据卷 docker volume prune网络Docker 提供了多种网络驱动默认创建bridge网络。同一网络内的容器可以通过容器名互相访问。# 创建一个自定义桥接网络 docker network create my_network # 运行两个容器并加入同一网络 docker run -d --name web --network my_network nginx:alpine docker run -it --name client --network my_network alpine:latest # 在 client 容器内可以 ping web ping web # 查看网络列表 docker network ls4. 使用 Dockerfile 构建自定义镜像仅仅使用现成的镜像是不够的。我们需要将自己的应用打包成镜像这就需要编写 Dockerfile。4.1 Dockerfile 指令详解一个典型的 Dockerfile 由一系列指令构成每条指令都会在镜像中创建一个新的层。FROM指定基础镜像必须是第一条指令。FROM openjdk:11-jre-slim # 基于轻量级 JRE FROM python:3.9-slim FROM nginx:alpineWORKDIR设置工作目录后续的RUN,CMD,COPY等指令都会在此目录下执行。WORKDIR /appCOPY / ADD将宿主机文件复制到镜像中。ADD比COPY功能多支持自动解压和远程 URL但推荐使用更明确的COPY。COPY target/myapp.jar app.jar COPY requirements.txt .RUN在构建镜像时执行的命令常用于安装软件包、编译代码等。RUN apt-get update apt-get install -y curl RUN pip install -r requirements.txtENV设置环境变量。ENV APP_HOME/app ENV JAVA_OPTS-Xmx512mEXPOSE声明容器运行时监听的端口只是一个文档性说明实际映射需要在docker run时用-p指定。EXPOSE 8080CMD指定容器启动时默认执行的命令。一个 Dockerfile 中只能有一条CMD指令如果有多条则只有最后一条生效。通常用于运行应用。CMD [java, -jar, app.jar] CMD [nginx, -g, daemon off;]CMD有三种格式CMD [executable,param1,param2](exec 格式推荐)CMD [param1,param2](作为 ENTRYPOINT 的默认参数)CMD command param1 param2(shell 格式)ENTRYPOINT与CMD类似但优先级更高。docker run命令行中指定的参数会被追加到ENTRYPOINT之后。常用于让镜像像一个可执行文件。ENTRYPOINT [java, -jar] CMD [app.jar] # 运行 docker run myimage other.jar 时实际执行 java -jar other.jar4.2 实战构建一个 Spring Boot 应用镜像假设我们有一个简单的 Spring Boot 应用打包后为demo-0.0.1-SNAPSHOT.jar。项目结构springboot-demo/ ├── Dockerfile ├── target/ │ └── demo-0.0.1-SNAPSHOT.jar └── (其他源码文件)编写 Dockerfile 在项目根目录创建Dockerfile文件内容如下# 使用官方 OpenJDK 11 运行时作为父镜像 FROM openjdk:11-jre-slim # 设置工作目录 WORKDIR /app # 将 jar 文件复制到容器内的 /app 目录下 # 这里假设 jar 包在 target 目录构建上下文是项目根目录 COPY target/demo-0.0.1-SNAPSHOT.jar app.jar # 暴露应用端口Spring Boot 默认 8080 EXPOSE 8080 # 指定容器启动时运行的命令 ENTRYPOINT [java, -jar, app.jar]构建镜像 在包含Dockerfile的目录下执行构建命令。-t参数用于给镜像打标签。docker build -t my-spring-app:1.0 . # 注意最后的 . 表示当前目录是构建上下文运行容器docker run -d --name myapp -p 8080:8080 my-spring-app:1.0访问http://localhost:8080即可看到应用。4.3 .dockerignore 文件类似于.gitignore.dockerignore文件用于排除在构建上下文docker build时指定的目录中不需要发送给 Docker 守护进程的文件和目录可以加速构建过程并减小镜像体积。示例.dockerignore# 忽略 git 相关 .git/ .gitignore # 忽略 IDE 文件 .vscode/ .idea/ *.iml # 忽略日志和编译输出 logs/ *.log target/ build/ out/ # 忽略本地配置文件生产环境通常从外部注入 *.properties *.yml !application-prod.yml # 使用 ! 表示例外5. Docker Compose多容器应用编排当应用由多个服务如 Web 前端、后端 API、数据库、缓存组成时手动使用docker run管理每个容器非常繁琐。Docker Compose 通过一个 YAML 文件来定义和运行多容器应用。5.1 docker-compose.yml 文件结构一个典型的docker-compose.yml文件包含以下部分version: 3.8 # 指定 Compose 文件格式版本 services: # 定义所有服务 web: # 服务名称 build: . # 基于当前目录的 Dockerfile 构建镜像 ports: - 8080:80 depends_on: - db environment: - DATABASE_URLjdbc:mysql://db:3306/mydb volumes: - ./app:/usr/share/nginx/html db: image: mysql:8.0 environment: MYSQL_ROOT_PASSWORD: secret MYSQL_DATABASE: mydb volumes: - db_data:/var/lib/mysql # 健康检查确保 db 就绪后 web 才启动 healthcheck: test: [CMD, mysqladmin, ping, -h, localhost] timeout: 20s retries: 10 volumes: # 定义数据卷供多个服务共享 db_data:5.2 实战编排一个 WordPress 博客系统WordPress 需要一个 Web 服务器WordPress 镜像和一个数据库MySQL 镜像。创建项目目录并编写 docker-compose.ymlmkdir my-wordpress cd my-wordpress创建docker-compose.yml文件version: 3.8 services: db: image: mysql:8.0 volumes: - db_data:/var/lib/mysql restart: always environment: MYSQL_ROOT_PASSWORD: somewordpress MYSQL_DATABASE: wordpress MYSQL_USER: wordpress MYSQL_PASSWORD: wordpress wordpress: depends_on: - db image: wordpress:latest ports: - 8000:80 restart: always environment: WORDPRESS_DB_HOST: db:3306 WORDPRESS_DB_USER: wordpress WORDPRESS_DB_PASSWORD: wordpress WORDPRESS_DB_NAME: wordpress volumes: - wp_data:/var/www/html volumes: db_data: wp_data:启动所有服务docker-compose up -d-d表示在后台运行。查看服务状态docker-compose ps查看日志docker-compose logs -f wordpress # 查看 wordpress 服务日志停止并清理docker-compose down # 如果想同时删除数据卷使用 # docker-compose down -v现在访问http://localhost:8000就可以开始 WordPress 的安装向导了。5.3 Docker Compose 常用命令# 启动所有服务在前台运行查看日志 docker-compose up # 启动所有服务后台运行 docker-compose up -d # 停止并移除所有容器、网络默认保留数据卷 docker-compose down # 停止并移除所有容器、网络、数据卷 docker-compose down -v # 查看服务状态 docker-compose ps # 查看服务日志 docker-compose logs docker-compose logs -f service_name # 跟踪特定服务日志 # 在运行中的服务容器内执行命令 docker-compose exec service_name bash # 构建或重新构建服务镜像 docker-compose build docker-compose build service_name # 拉取服务依赖的镜像 docker-compose pull6. 常见问题与排查思路在使用 Docker 的过程中你可能会遇到各种问题。下面是一些常见问题的排查思路。问题现象可能原因排查步骤与解决方案docker: command not foundDocker 未安装或未正确加入 PATH。1. 确认 Docker 已安装 (which docker)。2. 在 Linux 上确认当前用户是否在docker组或使用sudo。Cannot connect to the Docker daemonDocker 服务未启动或当前用户无权限。1. Linux:sudo systemctl status docker检查服务状态sudo systemctl start docker启动。2. Windows/macOS: 确保 Docker Desktop 已运行。3. Linux: 将用户加入docker组并重新登录。port is already allocated宿主机端口已被其他进程占用。1.netstat -tulpn | grep :端口号查看占用进程。2. 停止占用进程或修改docker run -p映射的宿主机端口。容器启动后立即退出容器内主进程执行完毕或出错。1.docker logs 容器名查看退出前的日志。2. 检查 Dockerfile 中的CMD或ENTRYPOINT是否正确。3. 尝试以交互模式运行docker run -it ... sh进入容器排查。镜像拉取失败Error response from daemon网络问题或镜像名/标签不存在。1. 检查网络连接。2. 配置国内镜像加速器。3. 确认镜像名和标签拼写正确 (docker search)。4. 对于私有镜像需要先docker login。数据卷挂载后容器内文件消失挂载的宿主机目录覆盖了容器内的原有目录。这是预期行为。如果需要在挂载时保留容器内的默认文件可以先运行一个临时容器将文件复制到宿主机目录再挂载。容器内无法解析域名容器的 DNS 配置有问题。1. 检查宿主机的 DNS 设置。2. 运行容器时指定 DNS--dns 8.8.8.8。3. 在docker-compose.yml或 Docker 守护进程配置中设置 DNS。docker build构建缓慢网络慢或构建上下文过大。1. 使用.dockerignore文件排除不必要的文件。2. 合理利用构建缓存将不常变的指令如安装依赖放在 Dockerfile 前面。通用排查流程看日志docker logs 容器名永远是第一步。进容器docker exec -it 容器名 sh/bash进入容器内部检查进程、文件、网络。查状态docker inspect 容器名查看容器的详细配置、网络、挂载等信息。简化复现尝试用最简化的命令或配置重现问题排除其他干扰因素。7. 最佳实践与进阶指南遵循最佳实践可以让你构建出更安全、高效和可维护的 Docker 应用。7.1 镜像构建最佳实践使用多阶段构建对于需要编译的应用如 Go, Java在第一个阶段编译在第二个阶段只复制编译好的产物到一个小体积的基础镜像中可以极大减小最终镜像体积。# 第一阶段构建 FROM maven:3.8-openjdk-11 AS builder WORKDIR /app COPY src ./src COPY pom.xml . RUN mvn clean package -DskipTests # 第二阶段运行 FROM openjdk:11-jre-slim WORKDIR /app COPY --frombuilder /app/target/myapp.jar app.jar EXPOSE 8080 ENTRYPOINT [java, -jar, app.jar]一个容器一个进程每个容器应该只运行一个主进程。这便于管理、日志收集和水平扩展。使用非 root 用户运行默认情况下容器以 root 运行存在安全风险。在 Dockerfile 中创建并使用非 root 用户。RUN groupadd -r appuser useradd -r -g appuser appuser USER appuser合理利用构建缓存Docker 按层缓存将不经常变化的指令如安装系统包放在前面经常变化的指令如复制源码放在后面。扫描镜像安全漏洞使用docker scan image_name或集成 Trivy、Anchore 等工具到 CI/CD 流程中检查镜像中的已知漏洞。7.2 容器运行与运维最佳实践限制容器资源使用-m,--cpus等参数限制容器的内存和 CPU 使用防止单个容器耗尽主机资源。docker run -d --name myapp -m 512m --cpus1.5 my-image使用重启策略通过--restart指定容器的重启策略如always,unless-stopped确保服务在异常退出后能自动恢复。docker run -d --restartalways nginx日志管理配置 Docker 的日志驱动如json-file,syslog,journald和日志轮转策略避免日志占满磁盘。// /etc/docker/daemon.json { log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }数据持久化策略对于数据库等有状态服务必须使用命名数据卷或绑定挂载到宿主机特定目录。避免将重要数据存储在容器的可写层容器删除后数据会丢失。定期备份数据卷。网络隔离为不同的应用项目创建独立的 Docker 网络实现网络层面的隔离。7.3 进阶学习方向掌握了 Docker 的基础和最佳实践后你可以向以下方向深入容器编排学习Kubernetes (K8s)或Docker Swarm管理成百上千的容器集群实现自动化部署、扩缩容和服务发现。CI/CD 集成将 Docker 集成到 Jenkins、GitLab CI、GitHub Actions 等持续集成/持续部署流程中实现自动化构建、测试和推送镜像。私有镜像仓库搭建企业级私有仓库如Harbor用于安全地存储和管理自己的镜像并集成漏洞扫描、权限控制等功能。监控与日志使用Prometheus监控容器和主机的性能指标使用Grafana进行可视化使用ELK Stack或Loki集中管理容器日志。安全加固深入学习容器安全包括镜像安全扫描、运行时安全、Seccomp、AppArmor/SELinux 配置、最小权限原则等。Docker 已经成为现代软件开发和运维的标准工具之一。从理解容器化思想到熟练使用命令和 Dockerfile再到运用 Compose 编排复杂应用每一步都扎实地提升了你的工程效率。记住实践是最好的老师尝试将自己的项目容器化并逐步应用到开发、测试流程中你会更深刻地体会到它带来的价值。如果在实践中遇到问题善用官方文档、社区和搜索引擎大部分问题都有成熟的解决方案。
