1. 从一次线上事故说起为什么我又把Docker翻出来重新审视前阵子帮一个朋友排查他那个小团队的项目部署问题四个人开发测试环境跑得好好的一上生产就各种“在我电脑上明明是好的”。这种场景你应该不陌生我这些年听过太多次了。他们最后用的方案是Docker但用得比较粗放镜像随便打容器随便跑结果磁盘被日志撑爆、容器重启后数据全丢、镜像体积一个多G。问题解决完之后我就在想Docker这东西普及率已经很高了但真正把它用明白的人其实没想象中那么多。所以这篇内容我想干一件事把Docker的优缺点掰开揉碎了讲清楚。不是那种列个十条优点五条缺点的清单式文章而是从实际使用场景出发讲清楚它在什么情况下能帮你省事在什么情况下反而会给你添堵。涉及的核心关键词包括容器化、镜像分层、资源隔离、环境一致性、运维成本、存储驱动、网络模型这些。不管你是刚接触容器的新手还是已经用了一段时间但总觉得哪里不对劲的开发者应该都能从里面找到一些对你有用的东西。我自己的经历比较典型早期觉得Docker是银弹什么都想往里塞后来踩了不少坑才慢慢理解它的边界在哪里。这篇文章会把我这些年积累的判断逻辑、实操细节、以及那些文档里不太会写的注意事项都放进来。内容会比较长建议你找个安静的时间慢慢看或者先收藏着遇到具体问题的时候再翻出来对照。2. Docker到底解决了什么问题核心价值拆解2.1 环境一致性从“在我电脑上能跑”到“在哪都能跑”Docker最核心的价值我认为就是环境一致性。它把应用和它依赖的运行环境打包在一起形成一个镜像。这个镜像在任何安装了Docker的机器上跑起来行为都是一样的。听起来简单但这件事在Docker普及之前解决起来成本非常高。传统部署方式下你得在目标机器上装运行时、配环境变量、调系统参数、处理依赖库版本冲突。Java应用要装JDKPython应用要装解释器Node应用要装Node运行时每个应用的依赖还各不相同。更麻烦的是不同Linux发行版的包管理、库版本、内核参数都有差异。我见过一个团队为了在一个老旧的CentOS 6机器上跑一个需要glibc 2.17的应用折腾了整整两天最后靠手动编译才搞定。Docker的做法是把应用层和系统层一起打包。镜像里包含了精简的操作系统用户空间、运行时、依赖库、应用代码和配置。容器启动时直接使用宿主机内核但用户空间是镜像里自带的。这就意味着只要宿主机内核版本满足要求镜像里的环境就是完全可控的。你可以在Ubuntu 22.04的开发机上构建镜像然后跑到CentOS 7的服务器上行为完全一致。这里有个细节值得展开Docker镜像的分层结构。每个镜像由多个只读层组成每层代表一次文件系统变更。比如你先拉了一个基础镜像然后装依赖然后拷贝代码每一步都会生成一个新层。这种设计的好处是多个镜像可以共享相同的底层节省磁盘空间和网络传输。当你构建新版本时只有变化的层需要重新构建和传输。这也是为什么Docker在CI/CD流水线里特别受欢迎——构建缓存能大幅缩短构建时间。但分层也有代价。层数太多会导致镜像元数据膨胀而且每一层都会保留完整的文件变更记录。如果你在某一层删除了一个大文件这个文件其实还存在于之前的层里只是被标记为删除了。最终镜像体积并不会因为删除操作而减小。这是新手很容易踩的坑后面讲缺点的时候我会详细说。2.2 资源隔离进程级别的“单身公寓”Docker的另一个核心能力是资源隔离。它利用Linux的Namespace和Cgroups技术让每个容器看起来像一台独立的机器。Namespace负责隔离视图比如PID Namespace让容器里的进程只能看到自己的进程树Mount Namespace让容器有独立的文件系统挂载点Network Namespace让容器有独立的网络栈。Cgroups负责限制资源你可以给容器设定CPU配额、内存上限、磁盘IO权重等。这种隔离是进程级别的不是硬件虚拟化。容器里的进程本质上还是宿主机上的进程只是被Namespace和Cgroups包装了一层。所以容器的启动速度非常快通常是毫秒级到秒级远快于虚拟机。资源开销也小得多一台物理机上跑几十个容器很常见但跑几十个虚拟机就比较吃力了。不过要注意这种隔离的安全性不如虚拟机。虚拟机有独立的操作系统内核容器共享宿主机内核。如果内核有漏洞容器逃逸的风险是存在的。所以对于多租户场景或者运行不可信代码的场景通常会在容器外面再加一层虚拟机或者使用Kata Containers这类安全容器方案。普通的企业内部应用这个风险通常可以接受但心里要有数。2.3 交付标准化镜像即交付物Docker还改变了软件的交付方式。以前交付一个应用可能是给一个war包、一个jar包、一个二进制文件再加上一份部署文档。文档里写着“先装JDK 8再装Tomcat 9然后改这个配置然后启动”。文档可能过时可能写错可能漏掉某个步骤。Docker的交付物是镜像。镜像里包含了运行所需的一切启动命令也写在镜像的元数据里。部署的时候只需要一条docker run命令或者用编排工具拉起。交付物从“代码文档”变成了“可执行的镜像”这减少了大量沟通成本和人为失误。镜像还可以打标签、推到镜像仓库、做版本管理。你可以清楚地知道生产环境跑的是哪个版本的镜像回滚的时候直接切到上一个标签就行。这种可追溯性在传统部署方式下需要额外搭建一套制品管理系统才能实现而Docker原生就支持。3. Docker的短板在哪里那些让我头疼过的瞬间3.1 存储与数据持久化容器一删数据全没Docker容器的文件系统是临时的。容器删除后里面的数据就没了。这是设计使然因为容器被定位为无状态的计算单元。但实际应用中很多服务是有状态的比如数据库、消息队列、文件存储。这时候就需要用Volume或者Bind Mount把数据持久化到宿主机上。Volume是Docker管理的存储卷存在/var/lib/docker/volumes/下面。Bind Mount是把宿主机的某个目录直接挂到容器里。两者各有适用场景。Volume更适合生产环境因为Docker会管理它的生命周期备份和迁移相对方便。Bind Mount更适合开发环境因为可以直接在宿主机上编辑文件容器里立刻生效。但这里有个大坑如果你用Bind Mount挂载一个宿主机目录到容器里而容器里的进程以非root用户运行很可能会遇到权限问题。因为容器里的用户ID和宿主机上的用户ID是同一套映射关系。容器里UID 1000的用户在宿主机上也是UID 1000。如果宿主机上那个目录属于UID 1001容器里的进程就没有写权限。这个问题在开发环境特别常见因为开发者的UID往往和容器里默认用户的UID不一致。解决办法有几种一是构建镜像时把容器内用户的UID改成和宿主机一致二是用Volume而不是Bind Mount三是在宿主机上调整目录权限。我一般推荐第一种在Dockerfile里用ARG传入UID然后usermod修改。这样镜像在不同机器上构建时可以传入不同的UID保证权限匹配。另一个存储相关的坑是日志。容器里应用写的日志默认会输出到stdout和stderr被Docker的日志驱动收集。如果不配置日志轮转日志文件会无限增长最终撑爆磁盘。我朋友那次线上事故就是这个原因。Docker默认的json-file日志驱动没有大小限制需要在/etc/docker/daemon.json里配置max-size和max-file。或者用docker run时加--log-opt max-size10m --log-opt max-file3。这个配置我建议在所有生产环境的Docker守护进程上都加上血的教训。3.2 网络模型默认配置下的性能与连通性陷阱Docker的网络模型有几种模式bridge、host、overlay、macvlan等。默认是bridge模式容器通过docker0网桥和宿主机通信通过NAT访问外网。这种模式下容器有独立的网络命名空间IP地址是Docker分配的通常是172.17.0.0/16网段。bridge模式的问题主要有两个。一是性能损耗。因为数据包要经过网桥和NAT相比host模式有额外的开销。对于网络密集型应用比如高并发的API网关这个开销可能比较明显。二是容器间通信。同一宿主机上的容器可以通过容器IP直接通信但跨宿主机的容器通信就需要overlay网络或者端口映射。overlay网络配置复杂而且有额外的封装开销。端口映射则受限于宿主机端口数量而且暴露端口有安全风险。我自己的经验是对于单机部署的小规模应用bridge模式够用。对于需要跨主机通信的集群直接用Kubernetes这类编排工具它会帮你处理网络问题。不要自己手动搭overlay网络除非你有明确的理由和足够的网络知识储备。还有一个容易忽略的点Docker默认会修改宿主机的iptables规则。它创建了DOCKER和DOCKER-USER链用来实现NAT和端口映射。如果你在宿主机上还有其他防火墙规则可能会和Docker的规则冲突。比如你本来想用iptables限制某个端口的访问结果Docker的规则把流量直接转发了绕过了你的限制。这个问题在安全敏感的环境里要特别注意。解决办法是把自定义规则放在DOCKER-USER链里这个链在Docker规则之前执行。3.3 镜像体积膨胀从几百兆到几个G的失控镜像体积是另一个常见痛点。一个简单的Node.js应用如果Dockerfile写得随意镜像很容易超过1G。原因通常是基础镜像选得太大、构建过程中产生了不必要的文件、没有利用多阶段构建。比如你直接用node:18作为基础镜像它基于Debian体积大概900M。如果你用node:18-alpine体积只有不到200M。Alpine Linux是一个极简发行版用musl libc代替glibc体积小很多。但Alpine也有坑某些依赖glibc的二进制包在Alpine上跑不起来需要额外装兼容层。所以选基础镜像要根据应用的实际依赖来定。多阶段构建是控制镜像体积的利器。思路是在一个阶段里编译代码然后把编译产物拷贝到一个干净的基础镜像里。比如Go应用第一阶段用golang镜像编译出二进制第二阶段用scratch或者alpine作为基础镜像只拷贝二进制和必要的配置文件。这样最终镜像可能只有几十兆。还有一个常见问题是构建缓存导致的体积膨胀。如果你在Dockerfile里先COPY . .再RUN npm install那么每次代码变更都会导致npm install重新执行而且之前的层还保留着。正确的做法是先拷贝package.json和package-lock.json执行npm install然后再拷贝源代码。这样只要依赖没变npm install这一层就能复用缓存。清理构建过程中的临时文件也很重要。比如apt-get install之后要rm -rf /var/lib/apt/lists/*npm install之后要npm cache clean --force。这些操作要放在同一个RUN指令里否则清理操作会在新的层里执行之前的层里的文件依然存在。4. 实操一个生产级Dockerfile的打磨过程4.1 从能跑到跑得好多阶段构建实战假设我们有一个Node.js的API服务用TypeScript写的需要编译成JavaScript再运行。先看一个能跑但不够好的DockerfileFROM node:18 WORKDIR /app COPY . . RUN npm install RUN npm run build EXPOSE 3000 CMD [node, dist/index.js]这个Dockerfile的问题基础镜像大、构建工具和源代码都留在最终镜像里、没有利用缓存。我们一步步优化。第一步用多阶段构建FROM node:18-alpine AS builder WORKDIR /app COPY package*.json ./ RUN npm ci COPY . . RUN npm run build FROM node:18-alpine WORKDIR /app COPY --frombuilder /app/dist ./dist COPY --frombuilder /app/node_modules ./node_modules COPY package*.json ./ EXPOSE 3000 CMD [node, dist/index.js]这里用了npm ci而不是npm install因为npm ci严格按照lock文件安装速度更快而且能保证构建的可重复性。COPY package*.json ./放在COPY . .之前是为了利用缓存。只要依赖没变npm ci这一层就能复用。但这样最终镜像里还是包含了devDependencies。可以在builder阶段只安装生产依赖FROM node:18-alpine AS builder WORKDIR /app COPY package*.json ./ RUN npm ci COPY . . RUN npm run build FROM node:18-alpine WORKDIR /app COPY package*.json ./ RUN npm ci --onlyproduction COPY --frombuilder /app/dist ./dist EXPOSE 3000 CMD [node, dist/index.js]这样最终镜像里只有生产依赖体积能小不少。还可以进一步用node:18-alpine的slim版本或者用distroless镜像。distroless是Google维护的极简镜像只包含应用和运行时没有shell和包管理器。安全性更好但调试起来不方便因为没法进容器里执行命令。4.2 安全加固非root用户与只读文件系统默认情况下容器里的进程以root用户运行。这有安全风险如果容器被攻破攻击者就获得了root权限。虽然容器里的root和宿主机上的root不完全一样但依然是不必要的风险。在Dockerfile里创建一个非root用户FROM node:18-alpine RUN addgroup -S appgroup adduser -S appuser -G appgroup WORKDIR /app COPY --frombuilder --chownappuser:appgroup /app/dist ./dist COPY --frombuilder --chownappuser:appgroup /app/node_modules ./node_modules USER appuser EXPOSE 3000 CMD [node, dist/index.js]--chown参数确保拷贝的文件属于appuser。USER appuser指令让后续的指令和容器启动时的进程都以appuser身份运行。还可以把根文件系统设为只读进一步限制攻击面docker run --read-only --tmpfs /tmp -v app-data:/app/data my-app--read-only让容器的根文件系统只读--tmpfs /tmp给/tmp目录一个内存文件系统-v app-data:/app/data挂载一个可写的Volume给应用写数据。这样即使攻击者攻破了应用也没法修改系统文件。4.3 资源限制别让一个容器拖垮整台机器生产环境一定要给容器设置资源限制。否则一个内存泄漏的容器可能把宿主机内存耗尽导致其他容器和宿主机上的其他服务都受影响。docker run -d \ --memory512m \ --memory-swap512m \ --cpus1.5 \ --pids-limit100 \ --restartunless-stopped \ my-app--memory限制内存使用--memory-swap限制内存加交换分区--cpus限制CPU核心数--pids-limit限制进程数防止fork炸弹--restart设置重启策略。这里有个细节--memory-swap如果不设置默认是--memory的两倍。如果设置了--memory512m而不设置--memory-swap容器最多能用512M内存加512M交换分区。对于延迟敏感的应用交换分区会导致性能抖动建议把--memory-swap设成和--memory一样禁用交换。CPU限制方面--cpus1.5表示容器最多使用1.5个CPU核心的计算能力。Docker通过Cgroups的cpu.cfs_quota_us和cpu.cfs_period_us来实现。默认period是100msquota是150ms表示每100ms周期内最多运行150ms。这个限制是软限制如果宿主机CPU空闲容器可以短暂超过限制但长期平均不会超过。5. 常见问题速查与避坑指南5.1 容器启动失败排查思路容器启动失败的原因很多我整理了一个排查顺序基本能覆盖大部分情况。第一步看容器日志。docker logs container_id如果是启动命令就失败了日志里通常有错误信息。如果容器还没起来就退了用docker logs可能看不到什么可以试试docker run时加-it参数直接在前台运行看输出。第二步看容器状态。docker ps -a查看退出码。退出码0表示正常退出非0表示异常。退出码137通常是OOM被杀了退出码1是应用报错退出码126是命令不可执行退出码127是命令找不到。第三步进容器里看看。如果容器能启动但很快退出可以用docker run -it --entrypoint sh image覆盖entrypoint进容器里手动执行启动命令看具体报什么错。第四步检查资源限制。如果容器被OOM杀了docker inspect container_id看State.OOMKilled字段。如果是true说明内存不够需要调大--memory或者排查应用的内存泄漏。第五步检查挂载和权限。如果应用需要写文件但报权限错误检查Volume或Bind Mount的权限设置。用docker exec进容器ls -la看目录权限id看当前用户。5.2 镜像构建慢的优化手段镜像构建慢通常有几个原因基础镜像拉取慢、依赖安装慢、构建缓存没利用好。基础镜像拉取慢的话可以配置镜像加速器。在/etc/docker/daemon.json里加registry-mirrors字段。不过要注意镜像加速器只对Docker Hub的官方镜像有效私有仓库的镜像不走加速器。依赖安装慢的话可以考虑在构建阶段使用更快的包源。比如npm可以设置npm config set registrypip可以设置pip config set global.index-url。但要注意这些配置如果写在Dockerfile里会固化到镜像中可能影响运行时的行为。更好的做法是通过构建参数传入只在构建阶段生效。构建缓存方面前面已经讲了指令顺序的优化。还有一个技巧是用--cache-from参数指定一个已有镜像作为缓存源。这在CI/CD环境里特别有用因为CI的构建环境通常是干净的没有本地缓存。你可以先把上一次构建的镜像拉下来然后用--cache-from指定它Docker会尝试复用其中的层。5.3 容器时间不对、DNS解析失败等杂项问题容器时间不对通常是因为宿主机时间不对或者容器里没有正确的时区配置。Docker容器默认使用UTC时间。如果应用需要本地时间可以在Dockerfile里设置ENV TZAsia/Shanghai或者运行时挂载宿主机的/etc/localtime和/etc/timezone。DNS解析失败可能是Docker的DNS配置问题。Docker默认使用宿主机的DNS配置但如果宿主机用的是systemd-resolved/etc/resolv.conf里可能是127.0.0.53这个地址在容器里访问不到。解决办法是在/etc/docker/daemon.json里配置dns字段指定公共DNS服务器。或者用docker run --dns 8.8.8.8临时指定。还有一个常见问题是容器里的localhost指向容器自己不是宿主机。如果应用需要访问宿主机上的服务不能用localhost要用宿主机的IP或者host.docker.internalDocker Desktop支持Linux下需要额外配置。问题现象可能原因排查命令解决方案容器启动后立即退出启动命令错误或应用崩溃docker logs id检查CMD和ENTRYPOINT进容器手动执行退出码137内存不足被OOM Killer杀掉docker inspect id看OOMKilled调大--memory或排查内存泄漏端口无法访问端口未映射或防火墙拦截docker port id检查-p参数和宿主机防火墙数据丢失未使用Volume持久化docker inspect id看Mounts使用Volume或Bind Mount镜像体积过大基础镜像大或未清理临时文件docker history image用alpine基础镜像多阶段构建构建慢缓存未命中或网络慢docker build --progressplain优化指令顺序配置镜像加速时间不对时区未配置docker exec id date设置TZ环境变量或挂载localtimeDNS解析失败resolv.conf配置问题docker exec id cat /etc/resolv.conf配置daemon.json的dns字段6. 我的个人体会Docker不是银弹但值得深入掌握用了这么多年Docker我最大的体会是它是一个工具不是目的。它的优势在于标准化交付和环境隔离但代价是额外的抽象层和运维复杂度。对于简单的单机应用直接跑二进制可能更省事。对于复杂的微服务架构Docker加上编排工具能大幅提升效率。关键是要根据实际场景判断不要为了用而用。另外Docker的学习曲线其实比看起来陡。表面上是几条命令但背后涉及Linux内核的Namespace、Cgroups、UnionFS、网络协议栈等知识。这些底层原理不理解遇到问题就只能靠猜。我建议花点时间看看这些基础概念不需要深入内核源码但至少要知道容器是怎么实现的。这样排查问题的时候思路会清晰很多。最后分享一个小技巧养成用docker system df查看磁盘使用的习惯。这个命令会显示镜像、容器、Volume、构建缓存各占了多少空间。定期清理不用的资源用docker system prune可以清理停止的容器、悬空镜像和未使用的网络。但要注意docker system prune -a会清理所有未使用的镜像包括你手动拉下来的基础镜像用之前想清楚。我一般会先docker system df看看情况再决定清理哪些。