Docker 完全指南

01. 什么是 Docker

02. Docker vs 虚拟机

Docker 和虚拟机都能实现环境隔离，但本质完全不同。

03. 核心概念

理解 Docker 的三个核心概念，用"面向对象"的类比最贴切。

04. 安装与配置

# 官方一键安装脚本（推荐）
curl -fsSL https://get.docker.com | sh

# 将当前用户加入 docker 组（免 sudo）
sudo usermod -aG docker $USER

# 启动 Docker 服务
sudo systemctl start docker
sudo systemctl enable docker

# 验证安装
docker --version
docker run hello-world

# 使用 Homebrew 安装
brew install --cask docker

# 或者下载 Docker Desktop for Mac
# https://www.docker.com/products/docker-desktop

# 安装完成后启动 Docker Desktop 应用

# 验证安装
docker --version
docker run hello-world

# 使用 winget 安装
winget install Docker.DockerDesktop

# 或者下载 Docker Desktop for Windows
# https://www.docker.com/products/docker-desktop

# 注意：需要启用 WSL2 或 Hyper-V

# 验证安装
docker --version
docker run hello-world

05. 常用命令速查

掌握这些命令，你就能应对 90% 的日常场景。

docker run -d                    # 后台运行
           -p 8080:80           # 端口映射：主机:容器
           --name mynginx        # 容器名称
           -v /data:/usr/...    # 挂载卷：主机路径:容器路径
           --restart=always     # 重启策略
           -e MYSQL_ROOT_PASSWORD=root  # 环境变量
           --network=mynet     # 指定网络
           --link db:db        # 链接其他容器（已废弃，用 network）
           nginx:latest        # 镜像名:标签

06. Dockerfile 详解

Dockerfile 是构建镜像的"配方"，定义了从基础镜像到最终镜像的所有步骤。

FROM openjdk:11-jre-slim    # 基础镜像
WORKDIR /app               # 设置工作目录
COPY target/my-app.jar app.jar  # 复制文件
EXPOSE 8080               # 声明端口
ENTRYPOINT ["java", "-jar", "app.jar"]  # 启动命令

指令参考

# 第一阶段：构建
FROM maven:3.8-openjdk-11 AS builder
WORKDIR /build
COPY pom.xml .
COPY src ./src
RUN mvn clean package -DskipTests

# 第二阶段：运行
FROM openjdk:11-jre-slim
WORKDIR /app
COPY --from=builder /build/target/*.jar app.jar
EXPOSE 8080
ENTRYPOINT ["java", "-jar", "app.jar"]

07. 分层存储原理

理解分层存储，是写出高效 Dockerfile 的关键。

# 推荐：先复制依赖描述文件，充分利用缓存
COPY package.json package-lock.json ./
RUN npm install
COPY . .

# 不推荐：每次代码改动都触发 npm install
COPY . .
RUN npm install

08. .dockerignore 配置

像 .gitignore 一样，.dockerignore 排除不需要打包的文件，减小镜像体积、加快构建速度。

# Git 相关
.git
.gitignore

# 依赖目录
node_modules
vendor

# 构建产物
dist
build
target

# 日志和临时文件
*.log
*.tmp
.env

# IDE 配置
.idea
.vscode
*.swp

# Docker 相关
Dockerfile
docker-compose.yml
.docker

09. Docker Compose 编排

单机多容器应用的神器。用一个 YAML 文件定义、运行、管理多个服务。

version: '3.8'

services:
  db:
    image: mysql:5.7
    environment:
      MYSQL_ROOT_PASSWORD: rootpwd
      MYSQL_DATABASE: myapp
    volumes:
      - db_data:/var/lib/mysql
    networks:
      - backend

  backend:
    build: ./backend
    depends_on:
      - db
    environment:
      SPRING_DATASOURCE_URL: jdbc:mysql://db:3306/myapp
    networks:
      - backend
      - frontend

  nginx:
    image: nginx:latest
    ports:
      - "80:80"
    volumes:
      - ./nginx.conf:/etc/nginx/nginx.conf
    depends_on:
      - backend
    networks:
      - frontend

volumes:
  db_data:

networks:
  backend:
  frontend:

常用命令

环境变量配置

敏感信息不要写进 compose 文件，使用 .env 文件：

DB_PASSWORD=super_secret_password
API_KEY=your_api_key_here
NODE_ENV=production

environment:
  MYSQL_ROOT_PASSWORD: ${DB_PASSWORD}

10. 网络配置

Docker 网络让容器之间、容器与外部世界能够通信。

11. 数据卷管理

容器是临时的，数据需要持久化。Volume 是 Docker 数据管理的核心。

docker run -v /host/path:/container/path nginx

docker run -v mydata:/var/lib/mysql mysql

docker run --tmpfs /tmp nginx

数据卷命令

12. 域名绑定与反向代理

生产环境通常通过反向代理将域名映射到容器服务。

方法一：宿主机 Nginx（简单直接）

server {
    listen 80;
    server_name www.myapp.com;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
    }
}

方法二：Traefik（云原生推荐）

自动服务发现，自动 HTTPS，无需手动配置。

services:
  traefik:
    image: traefik:v2.10
    command:
      - "--api.insecure=true"
      - "--providers.docker=true"
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock

  myapp:
    image: myapp:latest
    labels:
      - "traefik.http.routers.myapp.rule=Host(`www.myapp.com`)"
      - "traefik.http.routers.myapp.tls.certresolver=letsencrypt"

13. 私有镜像仓库

企业级部署需要私有仓库来存储和管理镜像。

14. 日志管理

容器化环境的日志收集与传统应用不同，需要统一方案。

ELK 技术栈

日志驱动配置

{
  "log-driver": "json-file",
  "log-opts": {
    "max-size": "10m",
    "max-file": "3"
  }
}

15. 监控方案

没有监控的系统是盲人摸象。Prometheus + Grafana 是云原生监控的标准组合。

services:
  prometheus:
    image: prom/prometheus
    ports:
      - "9090:9090"
    volumes:
      - ./prometheus.yml:/etc/prometheus/prometheus.yml

  grafana:
    image: grafana/grafana
    ports:
      - "3000:3000"
    environment:
      - GF_SECURITY_ADMIN_PASSWORD=admin

  cadvisor:
    image: gcr.io/cadvisor/cadvisor
    ports:
      - "8080:8080"
    volumes:
      - /:/rootfs:ro
      - /var/run:/var/run:ro
      - /sys:/sys:ro

16. 安全最佳实践

容器安全不容忽视，这些实践能显著降低风险。

RUN useradd -m myuser
USER myuser

FROM node:18-alpine

docker run --memory="512m" --cpus="0.5" myapp

docker run --read-only myapp

17. Kubernetes 入门

当单机 Docker 无法满足需求时，Kubernetes 登场。它是容器编排的事实标准。

核心概念

部署示例

apiVersion: apps/v1
kind: Deployment
metadata:
  name: myapp
spec:
  replicas: 3
  selector:
    matchLabels:
      app: myapp
  template:
    metadata:
      labels:
        app: myapp
    spec:
      containers:
      - name: myapp
        image: myapp:v1.0
        ports:
        - containerPort: 8080

18. CI/CD 流水线

自动化是现代开发流程的核心。从代码提交到部署上线，全程无需人工干预。

常用工具

GitLab CI 配置示例

stages:
  - build
  - test
  - deploy

build:
  stage: build
  image: docker:latest
  script:
    - docker build -t myapp:$CI_COMMIT_SHA .
    - docker push myapp:$CI_COMMIT_SHA

test:
  stage: test
  image: myapp:$CI_COMMIT_SHA
  script:
    - npm test

deploy:
  stage: deploy
  script:
    - kubectl set image deployment/myapp myapp=myapp:$CI_COMMIT_SHA
  only:
    - main

19. 最佳实践总结

掌握这些原则，让你的容器化之路更顺畅。