上下文#

容器生命周期#

备忘：退出码直接说明「怎么死的」——0 正常结束；1 程序报错；125 docker run 参数错；126 命令不可执行；127 命令找不到；137 被 SIGKILL（128+9，常见于内存超限或 stop 超时）；143 被 SIGTERM（128+15）。

运行时的参数#

备忘：

• 带冒号的参数，两边都是「宿主机在前，容器在后」——-p、-v 一个规矩。
• 想无条件钻进任意镜像，用 --entrypoint sh；docker run -it <镜像> sh 不保证有效——镜像名后面那个位置的含义由镜像决定。

安全#

备忘：

• 密码别放 -e：它会留在终端历史、Config.Env、每个进程的环境变量里，且只能重建才改得掉。放文件挂进去（mysql 有 MYSQL_ROOT_PASSWORD_FILE 这类写法，-e 里只写路径）。
• --privileged 等于把笼子拆了；要最小化用 --cap-drop ALL 再按需 --cap-add。

资源限制#

备忘：

• --cpus 是封顶，--cpu-shares 是抢 CPU 时的权重（不是上限）。
• --memory 是上限不是预留：超了被 OOM killer 杀（137），日志里常常什么都没有。
• docker update 能改运行参数，不能改配置：环境变量、端口、挂载、启动命令只能重建。
• Docker Desktop 还有一层总配额：docker info 里的总内存是虚拟机的，不是宿主机的。

日志与进入容器#

备忘：

• -it 两个参数缺一不可：-i 保持输入，-t 分配终端。
• 日志默认无上限，话多的容器能把磁盘写满。设上限：--log-opt 单次，或 daemon.json 全局（Linux 是 /etc/docker/daemon.json，Docker Desktop 走 Settings → Docker Engine；改完重启、只对新容器生效）。轮转的代价是旧日志会被丢。

进程与信号#

备忘：

• stop 先发 SIGTERM 再等（默认 10 秒），kill 直接 SIGKILL。
• 信号只发给 1 号进程；想让程序优雅退出，它就得是 1 号——entrypoint 结尾 exec、CMD 用数组写法。

镜像#

备忘：

• 镜像名四段：[仓库地址/]命名空间/名字:标签。省掉前两段默认 Docker Hub + 你的账号（nginx 就是 docker.io/library/nginx）。
• latest 不是「最新」，是没写标签时的默认值，随时会变；生产用明确版本，较真用 digest（nginx@sha256:...）。
• docker inspect 不用整段读：Config.Cmd/Entrypoint/Env/ExposedPorts、Mounts、State.* 各看各的。

构建镜像#

备忘：

• docker build 末尾 . 是当前目录（材料来源），不是 Dockerfile 位置；不想要的用 .dockerignore 挡掉。
• -t 名字:标签：冒号前名字、后标签；不写标签是 latest。
• 构建复用层：指纹没变打 CACHED，一变后面全重做；不常变的放前面、常变的放后面。
• COPY --from=<阶段> 源 目标 从别的阶段（或镜像）拷文件。
• VOLUME 声明过的目录，docker run 时自动生成匿名卷。

卷与数据#

备忘：

• -v 第一段以 /、./、../ 开头是路径，否则被当卷名；~ 别写进引号（会被当成卷名而报错）。
• :ro 是 Linux 挂载的 read-only 选项（mount -o ro）。
• 三种挂载怎么选：长期/交付 → 卷；开发改文件 → 绑定挂载；临时 → --tmpfs。
• 备份卷：临时容器挂「卷(:ro) + 宿主目录」再 tar，两个 -v 少一个不行，打包加 -C。

网络#

备忘：

• 三张自带网差别看 DRIVER：bridge 搭虚拟交换机（默认）、host 用宿主机的、none（驱动 null）什么都不搭；自定义网驱动也是 bridge，差别在有没有内建 DNS。
• 容器名能解析，靠内建 DNS（127.0.0.11），默认网络不解析；判断用 getent hosts <名字>，别看 curl 通不通。
• host.docker.internal 是容器里指回宿主机的名字（Docker Desktop 提供）。
• -p 在 macOS 是 Docker Desktop 占住端口（lsof 看 com.docker.backend），Windows 用 netstat -ano | findstr :<端口>。
• 连不上先分两层：Connection refused = 到了但没人应答；Connection timed out = 包根本没到。

Compose#

备忘：

• 服务名就是容器互相叫的名字；自动建 <项目>_default 网，项目名=目录名；卷要顶层 volumes: 声明。
• depends_on 只管顺序不管就绪；等就绪用 healthcheck + condition: service_healthy。
• 叠文件：单值项换、键值项按 key 合并、挂载按路径合并、ports 累加；compose.override.yaml 自动叠。
• profile 控制起不起：没写永远起，写了默认不起；点名叫可以绕过。

Compose 常用字段#

正文用到的字段（image、ports、environment、volumes、depends_on、healthcheck、profiles）在各关讲过。下面这些同样常用，只是还没轮到，写到对应关再展开：

完整字段清单见官方 Compose file reference。

系统与清理#

备忘：

• prune 不碰在跑容器的日志，也不治根（缓存会再攒、匿名卷会再造）。
• macOS 上 prune 释放的空间不一定立刻还给硬盘——Docker Desktop 的磁盘镜像是只长不缩的。