1. Docker基础概念与核心价值Docker作为现代应用容器化的标准解决方案已经彻底改变了软件交付和部署的方式。我第一次接触Docker是在2014年参与一个微服务项目时当时被它一次构建到处运行的特性所震撼。与传统虚拟机相比Docker容器更加轻量级启动速度可以达到秒级资源占用仅为虚拟机的1/5到1/10。核心优势主要体现在三个方面环境一致性从开发到生产的标准化、资源利用率单机可运行更多服务以及交付效率镜像即交付物。根据2023年CNCF的调查报告Docker在容器运行时市场的占有率仍保持在89%以上是当之无愧的行业标准。2. Docker环境安装与配置2.1 系统环境准备在安装Docker Engine前需要确保系统满足以下条件Linux内核版本3.10推荐4.x以上64位操作系统开启CPU虚拟化支持BIOS中VT-x/AMD-v至少2GB可用磁盘空间对于Windows/macOS用户官方推荐使用Docker Desktop。但需要注意Windows需启用WSL2或Hyper-VmacOS需10.15版本企业网络可能需要配置代理常见问题当出现virtualisation support not detected错误时需检查BIOS中虚拟化是否启用Windows功能中Hyper-V/WSL2是否安装第三方安全软件是否拦截2.2 安装流程示例CentOS# 卸载旧版本 sudo yum remove docker \ docker-client \ docker-client-latest \ docker-common \ docker-latest \ docker-latest-logrotate \ docker-logrotate \ docker-engine # 安装依赖 sudo yum install -y yum-utils device-mapper-persistent-data lvm2 # 添加仓库 sudo yum-config-manager \ --add-repo \ https://download.docker.com/linux/centos/docker-ce.repo # 安装引擎 sudo yum install -y docker-ce docker-ce-cli containerd.io # 启动服务 sudo systemctl enable --now docker # 验证安装 sudo docker run hello-world2.3 镜像加速配置国内用户建议配置镜像加速器创建或修改/etc/docker/daemon.json{ registry-mirrors: [ https://hub-mirror.c.163.com, https://mirror.baidubce.com ], insecure-registries: [], debug: false, experimental: false }重启服务生效sudo systemctl restart docker3. 核心命令详解3.1 镜像管理命令集搜索镜像支持过滤和分页docker search nginx --filteris-officialtrue --limit5拉取镜像支持多架构docker pull nginx:1.23-alpine查看镜像高级过滤docker images --format table {{.ID}}\t{{.Repository}}\t{{.Tag}} --filter danglingtrue删除镜像批量清理# 删除所有悬空镜像 docker image prune # 删除指定模式镜像 docker images | grep none | awk {print $3} | xargs docker rmi镜像构建多阶段构建示例# 第一阶段构建环境 FROM golang:1.19 as builder WORKDIR /app COPY . . RUN go build -o myapp . # 第二阶段运行环境 FROM alpine:latest COPY --frombuilder /app/myapp . CMD [./myapp]3.2 容器生命周期管理启动容器完整参数示例docker run -dit \ --name mynginx \ -p 8080:80 \ -v /data/html:/usr/share/nginx/html \ -e NGINX_PORT80 \ --restart unless-stopped \ --memory 512m \ --cpus 1.5 \ nginx:alpine容器监控实时指标docker stats --format table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}} # 高级监控需安装cAdvisor docker run -d \ --namecadvisor \ --volume/:/rootfs:ro \ --volume/var/run:/var/run:ro \ --volume/sys:/sys:ro \ --volume/var/lib/docker/:/var/lib/docker:ro \ --publish8080:8080 \ google/cadvisor:latest日志管理多模式查看# 基础日志 docker logs -f mynginx # 带时间戳的JSON日志 docker logs --timestamps --tail 100 mynginx # 日志驱动配置生产环境推荐 { log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }3.3 网络与存储管理网络配置自定义网络# 创建带子网的桥接网络 docker network create \ --driverbridge \ --subnet172.28.0.0/16 \ --gateway172.28.0.1 \ my-net # 连接容器到网络 docker network connect my-net mynginx卷管理持久化存储# 创建命名卷 docker volume create my-vol # 备份卷数据 docker run --rm \ -v my-vol:/source \ -v $(pwd):/backup \ alpine tar czf /backup/my-vol-backup.tar.gz -C /source .4. 生产环境实践技巧4.1 资源限制与调优内存限制防止OOMdocker run -it --memory1g --memory-swap2g redisCPU分配绑定核心docker run -it --cpus2 --cpuset-cpus0,1 nginxIO控制限制磁盘带宽docker run -it \ --device-read-bps /dev/sda:1mb \ --device-write-iops /dev/sda:100 \ mysql4.2 安全最佳实践用户隔离非root运行FROM alpine RUN addgroup -S appgroup adduser -S appuser -G appgroup USER appuser CMD [sleep, 3600]只读文件系统docker run --read-only -v /tmp:/tmp alpine能力控制最小权限docker run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx5. 常见问题排查指南5.1 启动故障排查容器启动失败# 查看详细错误 docker inspect --format{{.State.Error}} mycontainer # 检查日志即使未运行 docker logs -t mycontainer 21 | grep -i error端口冲突# 查找占用端口的进程 sudo lsof -i :8080 # 查看容器映射 docker port mynginx5.2 性能问题分析CPU瓶颈docker stats --no-stream | sort -k3 -h内存泄漏docker run -it --rm -v /var/run/docker.sock:/var/run/docker.sock \ aquasec/container-memory-analyser -p $(docker inspect --format{{.State.Pid}} mycontainer)网络延迟docker run --rm --net container:mynginx nicolaka/netshoot ping -c 4 google.com6. Docker Compose实战6.1 多服务编排示例version: 3.8 services: web: image: nginx:alpine ports: - 8080:80 volumes: - ./html:/usr/share/nginx/html networks: - frontend deploy: resources: limits: cpus: 0.5 memory: 256M db: image: postgres:13 environment: POSTGRES_PASSWORD: example volumes: - pgdata:/var/lib/postgresql/data networks: - backend healthcheck: test: [CMD-SHELL, pg_isready -U postgres] interval: 5s timeout: 5s retries: 5 networks: frontend: backend: volumes: pgdata:6.2 常用Compose命令项目启动docker-compose -f production.yml up -d --scale web3服务管理# 查看服务日志 docker-compose logs -f --tail100 web # 执行临时命令 docker-compose exec db psql -U postgres # 滚动更新 docker-compose pull web docker-compose up -d --no-deps web7. 高级技巧与扩展7.1 多阶段构建优化# 第一阶段依赖安装 FROM node:16 as deps WORKDIR /app COPY package*.json ./ RUN npm ci --production # 第二阶段构建应用 FROM node:16 as builder WORKDIR /app COPY --fromdeps /app/node_modules ./node_modules COPY . . RUN npm run build # 第三阶段运行时 FROM nginx:alpine COPY --frombuilder /app/dist /usr/share/nginx/html COPY nginx.conf /etc/nginx/conf.d/default.conf EXPOSE 807.2 镜像瘦身策略使用Alpine基础镜像比Ubuntu小10倍合并RUN命令减少镜像层使用.dockerignore排除无用文件多阶段构建去除构建工具压缩静态资源UPX工具效果对比优化前优化后缩减比例1.2GB85MB93%7.3 企业级实践私有仓库搭建docker run -d \ -p 5000:5000 \ --restartalways \ --name registry \ -v /data/registry:/var/lib/registry \ registry:2镜像扫描安全检测docker scan nginx:latestCI/CD集成# GitLab CI示例 build_image: stage: build script: - docker build -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA . - echo $CI_REGISTRY_PASSWORD | docker login -u $CI_REGISTRY_USER --password-stdin $CI_REGISTRY - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA8. 生态工具链推荐8.1 开发辅助工具Lens: Kubernetes IDEPortainer: 可视化管理Dive: 镜像分析ctop: 容器监控Watchtower: 自动更新8.2 生产级工具工具名称用途描述适用场景Trivy漏洞扫描安全合规Falco运行时安全监控入侵检测GrafanaProm监控告警运维观测Harbor企业级仓库镜像管理K3s轻量K8s边缘计算8.3 学习资源官方文档docs.docker.comPlay with Dockerlabs.play-with-docker.comKatacoda教程已迁移到官方《Docker Deep Dive》书籍在实际生产环境中建议建立完善的镜像构建流水线包括代码扫描、单元测试、安全扫描等环节。我们团队的经验是每个镜像都应有明确的Dockerfile责任人版本标签遵循语义化版本控制并且所有生产镜像必须经过安全扫描才能部署。 Docker容器化技术：从基础安装到生产实践
1. Docker基础概念与核心价值Docker作为现代应用容器化的标准解决方案已经彻底改变了软件交付和部署的方式。我第一次接触Docker是在2014年参与一个微服务项目时当时被它一次构建到处运行的特性所震撼。与传统虚拟机相比Docker容器更加轻量级启动速度可以达到秒级资源占用仅为虚拟机的1/5到1/10。核心优势主要体现在三个方面环境一致性从开发到生产的标准化、资源利用率单机可运行更多服务以及交付效率镜像即交付物。根据2023年CNCF的调查报告Docker在容器运行时市场的占有率仍保持在89%以上是当之无愧的行业标准。2. Docker环境安装与配置2.1 系统环境准备在安装Docker Engine前需要确保系统满足以下条件Linux内核版本3.10推荐4.x以上64位操作系统开启CPU虚拟化支持BIOS中VT-x/AMD-v至少2GB可用磁盘空间对于Windows/macOS用户官方推荐使用Docker Desktop。但需要注意Windows需启用WSL2或Hyper-VmacOS需10.15版本企业网络可能需要配置代理常见问题当出现virtualisation support not detected错误时需检查BIOS中虚拟化是否启用Windows功能中Hyper-V/WSL2是否安装第三方安全软件是否拦截2.2 安装流程示例CentOS# 卸载旧版本 sudo yum remove docker \ docker-client \ docker-client-latest \ docker-common \ docker-latest \ docker-latest-logrotate \ docker-logrotate \ docker-engine # 安装依赖 sudo yum install -y yum-utils device-mapper-persistent-data lvm2 # 添加仓库 sudo yum-config-manager \ --add-repo \ https://download.docker.com/linux/centos/docker-ce.repo # 安装引擎 sudo yum install -y docker-ce docker-ce-cli containerd.io # 启动服务 sudo systemctl enable --now docker # 验证安装 sudo docker run hello-world2.3 镜像加速配置国内用户建议配置镜像加速器创建或修改/etc/docker/daemon.json{ registry-mirrors: [ https://hub-mirror.c.163.com, https://mirror.baidubce.com ], insecure-registries: [], debug: false, experimental: false }重启服务生效sudo systemctl restart docker3. 核心命令详解3.1 镜像管理命令集搜索镜像支持过滤和分页docker search nginx --filteris-officialtrue --limit5拉取镜像支持多架构docker pull nginx:1.23-alpine查看镜像高级过滤docker images --format table {{.ID}}\t{{.Repository}}\t{{.Tag}} --filter danglingtrue删除镜像批量清理# 删除所有悬空镜像 docker image prune # 删除指定模式镜像 docker images | grep none | awk {print $3} | xargs docker rmi镜像构建多阶段构建示例# 第一阶段构建环境 FROM golang:1.19 as builder WORKDIR /app COPY . . RUN go build -o myapp . # 第二阶段运行环境 FROM alpine:latest COPY --frombuilder /app/myapp . CMD [./myapp]3.2 容器生命周期管理启动容器完整参数示例docker run -dit \ --name mynginx \ -p 8080:80 \ -v /data/html:/usr/share/nginx/html \ -e NGINX_PORT80 \ --restart unless-stopped \ --memory 512m \ --cpus 1.5 \ nginx:alpine容器监控实时指标docker stats --format table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}} # 高级监控需安装cAdvisor docker run -d \ --namecadvisor \ --volume/:/rootfs:ro \ --volume/var/run:/var/run:ro \ --volume/sys:/sys:ro \ --volume/var/lib/docker/:/var/lib/docker:ro \ --publish8080:8080 \ google/cadvisor:latest日志管理多模式查看# 基础日志 docker logs -f mynginx # 带时间戳的JSON日志 docker logs --timestamps --tail 100 mynginx # 日志驱动配置生产环境推荐 { log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }3.3 网络与存储管理网络配置自定义网络# 创建带子网的桥接网络 docker network create \ --driverbridge \ --subnet172.28.0.0/16 \ --gateway172.28.0.1 \ my-net # 连接容器到网络 docker network connect my-net mynginx卷管理持久化存储# 创建命名卷 docker volume create my-vol # 备份卷数据 docker run --rm \ -v my-vol:/source \ -v $(pwd):/backup \ alpine tar czf /backup/my-vol-backup.tar.gz -C /source .4. 生产环境实践技巧4.1 资源限制与调优内存限制防止OOMdocker run -it --memory1g --memory-swap2g redisCPU分配绑定核心docker run -it --cpus2 --cpuset-cpus0,1 nginxIO控制限制磁盘带宽docker run -it \ --device-read-bps /dev/sda:1mb \ --device-write-iops /dev/sda:100 \ mysql4.2 安全最佳实践用户隔离非root运行FROM alpine RUN addgroup -S appgroup adduser -S appuser -G appgroup USER appuser CMD [sleep, 3600]只读文件系统docker run --read-only -v /tmp:/tmp alpine能力控制最小权限docker run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx5. 常见问题排查指南5.1 启动故障排查容器启动失败# 查看详细错误 docker inspect --format{{.State.Error}} mycontainer # 检查日志即使未运行 docker logs -t mycontainer 21 | grep -i error端口冲突# 查找占用端口的进程 sudo lsof -i :8080 # 查看容器映射 docker port mynginx5.2 性能问题分析CPU瓶颈docker stats --no-stream | sort -k3 -h内存泄漏docker run -it --rm -v /var/run/docker.sock:/var/run/docker.sock \ aquasec/container-memory-analyser -p $(docker inspect --format{{.State.Pid}} mycontainer)网络延迟docker run --rm --net container:mynginx nicolaka/netshoot ping -c 4 google.com6. Docker Compose实战6.1 多服务编排示例version: 3.8 services: web: image: nginx:alpine ports: - 8080:80 volumes: - ./html:/usr/share/nginx/html networks: - frontend deploy: resources: limits: cpus: 0.5 memory: 256M db: image: postgres:13 environment: POSTGRES_PASSWORD: example volumes: - pgdata:/var/lib/postgresql/data networks: - backend healthcheck: test: [CMD-SHELL, pg_isready -U postgres] interval: 5s timeout: 5s retries: 5 networks: frontend: backend: volumes: pgdata:6.2 常用Compose命令项目启动docker-compose -f production.yml up -d --scale web3服务管理# 查看服务日志 docker-compose logs -f --tail100 web # 执行临时命令 docker-compose exec db psql -U postgres # 滚动更新 docker-compose pull web docker-compose up -d --no-deps web7. 高级技巧与扩展7.1 多阶段构建优化# 第一阶段依赖安装 FROM node:16 as deps WORKDIR /app COPY package*.json ./ RUN npm ci --production # 第二阶段构建应用 FROM node:16 as builder WORKDIR /app COPY --fromdeps /app/node_modules ./node_modules COPY . . RUN npm run build # 第三阶段运行时 FROM nginx:alpine COPY --frombuilder /app/dist /usr/share/nginx/html COPY nginx.conf /etc/nginx/conf.d/default.conf EXPOSE 807.2 镜像瘦身策略使用Alpine基础镜像比Ubuntu小10倍合并RUN命令减少镜像层使用.dockerignore排除无用文件多阶段构建去除构建工具压缩静态资源UPX工具效果对比优化前优化后缩减比例1.2GB85MB93%7.3 企业级实践私有仓库搭建docker run -d \ -p 5000:5000 \ --restartalways \ --name registry \ -v /data/registry:/var/lib/registry \ registry:2镜像扫描安全检测docker scan nginx:latestCI/CD集成# GitLab CI示例 build_image: stage: build script: - docker build -t $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA . - echo $CI_REGISTRY_PASSWORD | docker login -u $CI_REGISTRY_USER --password-stdin $CI_REGISTRY - docker push $CI_REGISTRY_IMAGE:$CI_COMMIT_SHA8. 生态工具链推荐8.1 开发辅助工具Lens: Kubernetes IDEPortainer: 可视化管理Dive: 镜像分析ctop: 容器监控Watchtower: 自动更新8.2 生产级工具工具名称用途描述适用场景Trivy漏洞扫描安全合规Falco运行时安全监控入侵检测GrafanaProm监控告警运维观测Harbor企业级仓库镜像管理K3s轻量K8s边缘计算8.3 学习资源官方文档docs.docker.comPlay with Dockerlabs.play-with-docker.comKatacoda教程已迁移到官方《Docker Deep Dive》书籍在实际生产环境中建议建立完善的镜像构建流水线包括代码扫描、单元测试、安全扫描等环节。我们团队的经验是每个镜像都应有明确的Dockerfile责任人版本标签遵循语义化版本控制并且所有生产镜像必须经过安全扫描才能部署。