1.17 Docker 基础

一、Docker 的用途与边界

SSJ：“我这能跑啊，你那边怎么不行？”

SSSJ：“我不知道啊，报错说缺什么库……”

SSSSJ：“这都装不明白？你缺…你%￥#*……？”

这类问题的原因多数不在代码本身，而在环境——操作系统、CPU 架构、依赖库版本、配置、环境变量，哪一处不一样都可能导致结果不同。而 Docker 能把运行环境里的相当一部分固化下来、打包带走，但解决不了所有差异。

Docker 是一个开源的容器化平台。它把“应用 + 运行环境”一起打包成镜像，放进仓库分发；别人把镜像拉下来，就能在装有 Docker 的机器上用容器跑起来，省掉的正是装依赖、配环境这一步。具体机制在 2.2 展开。

镜像把应用和它依赖的用户空间一起打包，至少解决了“依赖版本对不上”这类问题。但容器共享的是宿主机的 Linux 内核，CPU 架构、挂载的文件、环境变量、网络、外部服务这些仍然会影响结果，所以“用同一个镜像”并不等于“跑出来的结果一定一模一样”。

二、核心概念

2.1 容器 vs 虚拟机

容器一般不含一整套来宾操作系统，所以启动和占用通常比虚拟机小。

不过差距有多大，最终还是看镜像、工作负载和运行在哪台机器上。

2.2 四个核心概念

三、安装 Docker

3.1 Windows / macOS

装 Docker Desktop 就行，它把图形界面、Docker CLI、Compose 等一揽子带齐了。装之前先核对系统要求、组织许可和你要用的虚拟化后端。

3.2 Linux

不同发行版的安装和升级方式不一样。Ubuntu 请照着 Docker Engine 官方安装文档 配置 Docker 的 apt 仓库，再装 Engine、Buildx 与 Compose 插件。

别把发行版自带包、第三方脚本和官方仓库混着用。

3.3 验证安装

docker --version          # 查看版本
docker run --rm hello-world # 运行测试镜像，退出后删除测试容器

容器正常退出并打印欢迎语，就说明 Docker 客户端、守护进程和镜像拉取这条链路都通了。

四、基本操作

4.1 镜像操作

# 搜索镜像
docker search nginx

# 使用项目选定的版本标签，避免无意间跟随 latest
docker pull python:3.12
docker pull python:3.12-slim     # 精简版，体积较小

# 查看本地镜像
docker images

# 删除镜像
docker rmi python:3.12

4.2 容器操作

# 运行容器
docker run hello-world                # 运行并退出
docker run -it ubuntu:24.04 bash          # 交互式进入 Ubuntu
docker run -d nginx:1.28-alpine           # 后台运行
docker run --name myweb nginx:1.28-alpine # 给容器起名
docker run -p 8080:80 nginx:1.28-alpine   # 端口映射（主机 8080 → 容器 80）
docker run --rm -v "$(pwd):/app" node:22 node --version # 绑定挂载当前目录并运行明确版本镜像

# 查看容器
docker ps                # 运行中的容器
docker ps -a             # 所有容器（含已停止）

# 控制容器
docker start 容器名/ID    # 启动
docker stop 容器名/ID     # 停止
docker restart 容器名/ID  # 重启
docker rm 容器名/ID       # 删除容器

# 进入运行中的容器
docker exec -it 容器名 sh              # 镜像未必包含 bash

# 查看日志
docker logs 容器名
docker logs -f 容器名       # 持续追踪

4.3 run 命令参数详解

docker run 是最常用的命令，参数含义：

验证： 运行 docker run --rm -p 127.0.0.1:8080:80 nginx:1.28-alpine，浏览器打开 http://localhost:8080，看到 nginx 欢迎页就说明通了。绑到 127.0.0.1 是避免把这个练习服务暴露到局域网。

用完按 Ctrl + C 停掉容器。

五、Dockerfile：构建自己的镜像

5.1 基本结构

Dockerfile 就是一份文本说明书，告诉 Docker 怎么在基础镜像之上拼出我们自己的镜像。示例：

# Dockerfile
# 基础镜像
FROM python:3.12-slim

# 设置工作目录
WORKDIR /app

# 复制依赖文件并安装（利用缓存层）
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt

# 复制项目代码
COPY . .

# 声明端口
EXPOSE 8000

# 启动命令
CMD ["python", "app.py"]

示例假设构建上下文里已经有 requirements.txt 和 app.py，只用来说明指令顺序。它按基础镜像里的默认用户运行，没处理健康检查、非 root 用户、依赖哈希和生产级启动服务器，所以不能直接当生产模板用。

5.2 常用指令

5.3 构建与运行

# 构建镜像（-t 设置名称，. 表示上下文目录）
docker build -t myapp:1.0 .

# 运行
docker run -p 8000:8000 myapp:1.0

验证： 跑完 docker images 应能看到 myapp。再访问 http://localhost:8000，应用有响应就说明构建和运行都正常。

5.4 构建技巧

5.4.1 利用缓存层

把变化少的步骤放前面。COPY requirements.txt + RUN pip install 放在 COPY . . 之前，这样改代码不会把依赖重装一遍，构建快很多。

5.4.2 用 .dockerignore

跟 .gitignore 一个道理，把不该进镜像的文件挡在外面：

# .dockerignore
node_modules
.git
__pycache__
.env
.venv

六、Docker Hub：镜像仓库

Docker Hub 是 Docker 官方的公共镜像仓库，里面有官方镜像、认证发布者镜像，也有大量社区镜像。拉之前看清楚命名空间、维护者、标签、支持架构和更新频率——名字好听不等于能信。

# 登录
docker login

# 给镜像打标签 (用户名/镜像名:版本)
docker tag myapp:1.0 你的用户名/myapp:1.0

# 推送
docker push 你的用户名/myapp:1.0

# 拉取
docker pull 你的用户名/myapp:1.0

七、数据持久化

容器一删，它的可写层也跟着没了。要跨容器生命周期保留的数据，得放进卷（Volume）、绑定挂载或外部存储，并且单独做备份。

# 命名卷 (Docker 管理)
docker volume create mydata
docker run -d --name mysql-demo \
  -e MYSQL_ROOT_PASSWORD="$MYSQL_ROOT_PASSWORD" \
  -v mydata:/var/lib/mysql \
  mysql:8.4

# 绑定挂载 (把当前项目以只读方式挂到容器)
docker run --rm -v "$PWD:/app:ro" -w /app node:22 ls

跑数据库示例前，先在当前 Shell 里设好非空的 MYSQL_ROOT_PASSWORD。直接写在命令行里的密码还会留在历史记录里。

这里用已有的环境变量传进去，只适合本地练习，正式环境请用平台提供的密钥管理。

八、Docker Compose：多容器编排

真实项目往往由多个服务组合而成（Web + 数据库 + 缓存），逐个执行 docker run 较为繁琐。Docker Compose 用一份 YAML 描述全部服务，一条命令启动整套环境。

8.1 示例：compose.yaml

# Define a web service and a database with persistent storage.
# 定义 Web 服务与带持久化存储的数据库。
services:
  web:
    build: .
    ports:
      - "8000:8000"
    depends_on:
      db:
        condition: service_healthy
    environment:
      DB_HOST: db

  db:
    image: mysql:8.4
    environment:
      MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD:?请设置 MYSQL_ROOT_PASSWORD}
    volumes:
      - dbdata:/var/lib/mysql
    healthcheck:
      test: ["CMD-SHELL", "mysqladmin ping -h localhost -p\"$$MYSQL_ROOT_PASSWORD\""]
      interval: 5s
      timeout: 5s
      retries: 10
      start_period: 20s

volumes:
  dbdata:

8.2 操作命令

docker compose up -d        # 启动所有服务 (后台)
docker compose ps           # 查看状态
docker compose logs -f      # 查看日志
docker compose down         # 停止并删除容器与默认网络
docker compose build        # 重新构建

运行之前在未提交的 .env 或安全的密钥管理里给 MYSQL_ROOT_PASSWORD 赋值，不要把真实密码写入 Compose 文件。

depends_on 配 service_healthy 会等示例里的数据库健康检查过了才继续。短写法只控制启动顺序，不保证服务已经可用。验证： 先 docker compose config --quiet 检查配置，再启动并用 docker compose ps 看状态。docker compose down 默认不删这里的命名卷，只有显式加 --volumes 才会连数据一起清掉。

九、学生常见场景

9.1 按配置启动课程实验环境

课程提供了 Dockerfile 或 compose.yaml，按照配置构建或启动环境即可，省去手动安装大量用户空间依赖的步骤：

docker compose up

镜像版本、配置、架构和输入数据一致时，实验环境更容易复现。

不过最后还是要对一下课程要求和实际运行结果。

9.2 不污染本机装数据库

想学 MySQL、Redis、PostgreSQL，又不想在本机装一堆：

docker volume create mysql-data
docker run -d --name mysql \
  -p 127.0.0.1:3306:3306 \
  -e MYSQL_ROOT_PASSWORD="$MYSQL_ROOT_PASSWORD" \
  -v mysql-data:/var/lib/mysql \
  mysql:8.4

先在当前 Shell 里设好 MYSQL_ROOT_PASSWORD 再跑。用完 docker stop mysql 停掉进程——停了的容器不再吃运行时 CPU 和内存，但容器元数据、可写层、镜像和卷仍占着磁盘。删 mysql-data 会连数据库内容一起没了。

9.3 部署个人项目

项目打成镜像推到 Registry 后，服务器就能按固定镜像版本运行起来。但生产部署还要处理访问控制、密钥、网络、数据迁移、健康检查、日志、监控、资源限制与回滚，这些 Docker 本身不会替你处理。

十、TODO 清单

• 了解镜像、容器、Registry 与卷之间的关系
• 尝试运行带明确版本标签的镜像，并检查日志和退出状态
• 尝试编写一个包含 .dockerignore 的简单 Dockerfile
• 尝试用 docker compose config 检查 Compose 配置
• 确保密码和令牌没有写进镜像、Dockerfile 或仓库
• 确保重要数据具有独立于容器和卷的备份方案

十一、值得我们思考的问题

十二、值得我们进一步阅读的资料

• Docker 官方文档
• Docker Hub
• Dockerfile 参考
• Compose 文档
• Docker Engine 安装文档