Docker 完全指南 2026：镜像 / 容器 / 网络 / Compose / 生产部署最佳实践

Docker 是现代应用部署的基础设施，无论是个人项目还是企业级服务，容器化都已成为标配。本文覆盖 Docker 从入门到生产部署的全链路知识，重点关注 2026 年实际使用中遇到的问题——尤其是国内镜像加速失效、多阶段构建优化、Compose 生产配置等实战场景。

一、安装与国内镜像加速#

1.1 安装 Docker（Linux）#

1
# 一键安装（Debian/Ubuntu，官方脚本）
2
curl -fsSL https://get.docker.com | sh
3

4
# 安装完成后，将当前用户加入 docker 组（免 sudo）
5
sudo usermod -aG docker $USER
6
newgrp docker   # 立即生效（或重新登录）
7

8
# 验证
9
docker --version       # Docker version 26.x.x
10
docker compose version # Docker Compose version v2.x.x（注意：v2 是 compose 子命令，不再是独立的 docker-compose）

1.2 国内镜像加速（2026 可用方案）#

⚠️ 2024-2025 年，DaoCloud、网易云、USTC 等加速器陆续停止服务。以下是 2026 年仍可用的方案。

方案 A：通过本地代理软件（推荐，最稳定）

如果你的服务器或本机安装了代理软件（监听 7890 端口），配置 Docker 走代理：

1
# 创建 Docker 服务的 systemd 环境变量目录
2
sudo mkdir -p /etc/systemd/system/docker.service.d
3

4
# 创建代理配置文件
5
sudo cat > /etc/systemd/system/docker.service.d/http-proxy.conf << 'EOF'
6
[Service]
7
Environment="HTTP_PROXY=socks5://127.0.0.1:7890"
8
Environment="HTTPS_PROXY=socks5://127.0.0.1:7890"
9
Environment="NO_PROXY=localhost,127.0.0.1,registry.cn-hangzhou.aliyuncs.com"
10
EOF
11

12
sudo systemctl daemon-reload
13
sudo systemctl restart docker
14

15
# 验证代理生效
16
docker pull hello-world

方案 B：daemon.json 配置镜像源（部分可用）

1
{
2
  "registry-mirrors": [
3
    "https://docker.m.daocloud.io",
4
    "https://hub-mirror.c.163.com"
5
  ],
6
  "log-driver": "json-file",
7
  "log-opts": {
8
    "max-size": "100m",
9
    "max-file": "3"
10
  }
11
}

1
sudo systemctl daemon-reload && sudo systemctl restart docker
2
docker info | grep -A5 "Registry Mirrors"

方案 C：使用阿里云容器镜像服务（自己搬运）

在阿里云 ACR 免费版中建立镜像同步仓库，将 DockerHub 镜像同步到阿里云，再从 registry.cn-hangzhou.aliyuncs.com 拉取。

二、Docker 基础命令速查#

2.1 镜像操作#

1
# ── 搜索与拉取 ────────────────────────────────────────────────
2
docker search nginx                         # 搜索镜像
3
docker pull nginx:1.27-alpine              # 拉取指定版本（强烈建议指定 tag！）
4
docker pull nginx:latest                    # 拉取最新版（生产环境慎用 latest）
5

6
# ── 查看与管理 ────────────────────────────────────────────────
7
docker images                               # 查看本地镜像列表
8
docker image ls --format "table {{.Repository}}\t{{.Tag}}\t{{.Size}}"  # 格式化显示
9
docker image inspect nginx:1.27-alpine      # 查看镜像详细信息
10
docker image history nginx:1.27-alpine      # 查看镜像构建层
11

12
# ── 导出与导入 ────────────────────────────────────────────────
13
docker save nginx:1.27-alpine | gzip > nginx.tar.gz     # 导出镜像到文件
14
docker load < nginx.tar.gz                              # 从文件导入镜像
15

16
# ── 清理 ──────────────────────────────────────────────────────
17
docker image rm nginx:latest                # 删除指定镜像
18
docker image prune                          # 删除所有悬空镜像（无 tag 的）
19
docker image prune -a                       # 删除所有未被容器使用的镜像（⚠️ 谨慎）

2.2 容器操作#

1
# ── 运行容器 ──────────────────────────────────────────────────
2
docker run nginx                                        # 前台运行（Ctrl+C 停止）
3
docker run -d nginx                                     # 后台运行（detached）
4
docker run -d --name my-nginx nginx                     # 指定容器名
5
docker run -d -p 8080:80 nginx                          # 端口映射（宿主:容器）
6
docker run -d -v /data/html:/usr/share/nginx/html nginx # 挂载目录
7
docker run -d --restart unless-stopped nginx            # 重启策略
8

9
# ── 进入容器 ──────────────────────────────────────────────────
10
docker exec -it my-nginx /bin/sh              # 进入运行中的容器（推荐 /bin/sh 更兼容）
11
docker exec my-nginx ls /usr/share/nginx/html # 不交互，直接执行命令
12

13
# ── 查看容器状态 ──────────────────────────────────────────────
14
docker ps                          # 查看运行中的容器
15
docker ps -a                       # 查看所有容器（含已停止）
16
docker logs my-nginx               # 查看日志
17
docker logs -f my-nginx            # 实时跟踪日志（follow）
18
docker logs --tail 100 my-nginx    # 最后 100 行日志
19
docker stats                       # 实时资源占用（CPU/内存/网络）
20
docker inspect my-nginx            # 容器详情
21

22
# ── 生命周期管理 ──────────────────────────────────────────────
23
docker stop my-nginx               # 优雅停止（发送 SIGTERM，等待 10 秒）
24
docker kill my-nginx               # 强制停止（发送 SIGKILL）
25
docker start my-nginx              # 启动已停止的容器
26
docker restart my-nginx            # 重启容器
27
docker rm my-nginx                 # 删除已停止的容器
28
docker rm -f my-nginx              # 强制删除（运行中也删除）
29

30
# ── 清理 ──────────────────────────────────────────────────────
31
docker container prune             # 删除所有已停止的容器
32
docker system prune                # 清理所有未使用的资源（容器/镜像/网络/缓存）
33
docker system prune -a --volumes   # 同上 + 删除 volumes（⚠️ 会丢数据！）

三、Dockerfile：构建自定义镜像#

3.1 Dockerfile 核心指令#

1
# ── 基础指令 ──────────────────────────────────────────────────
2

3
FROM node:20-alpine AS base
4
# 基础镜像。使用 alpine 变体体积更小
5

6
WORKDIR /app
7
# 设置工作目录（后续指令的默认路径，如不存在则自动创建）
8

9
COPY package*.json ./
10
# 复制文件/目录（src dst）
11
# 先复制 package.json，利用 Docker 层缓存——只有 package.json 变了才重新安装依赖
12

13
RUN npm ci --only=production
14
# 执行命令（每个 RUN 创建一个新层）
15
# npm ci 比 npm install 更适合 CI 环境：严格按 package-lock.json 安装
16

17
COPY . .
18
# 复制其他源码（在安装依赖之后，利用缓存）
19

20
ENV NODE_ENV=production
21
# 设置环境变量
22

23
EXPOSE 3000
24
# 声明容器监听的端口（文档作用，不自动发布）
25

26
ENTRYPOINT ["node"]
27
# 容器启动时执行的命令（不可被 docker run 参数覆盖）
28

29
CMD ["server.js"]
30
# ENTRYPOINT 的默认参数，可被 docker run 后的参数覆盖

3.2 多阶段构建（减小镜像体积的关键）#

多阶段构建是生产级 Dockerfile 的核心技术，将”构建环境”和”运行环境”分离：

Python 项目示例：从 ~500MB 到 ~80MB

1
# ── 阶段1：构建（安装依赖、编译）────────────────────────────────
2
FROM python:3.12-slim AS builder
3

4
WORKDIR /app
5

6
# 安装 uv（快速依赖管理）
7
RUN pip install uv
8

9
# 复制依赖文件并安装到虚拟环境
10
COPY pyproject.toml uv.lock ./
11
RUN uv venv /opt/venv && \
12
    uv sync --frozen --no-dev --python /opt/venv/bin/python
13

14
# 复制源码
15
COPY src/ ./src/
16

17
# ── 阶段2：最终镜像（只包含运行所需文件）────────────────────────
18
FROM python:3.12-slim AS final
19

20
# 安全：创建非 root 用户
21
RUN useradd --no-create-home --shell /bin/false appuser
22

23
WORKDIR /app
24

25
# 从 builder 阶段复制虚拟环境
26
COPY --from=builder /opt/venv /opt/venv
27
# 复制源码
28
COPY --from=builder /app/src ./src
29

30
# 设置 PATH 使用虚拟环境
31
ENV PATH="/opt/venv/bin:$PATH"
32

33
# 使用非 root 用户运行
34
USER appuser
35

36
EXPOSE 8000
37
CMD ["uvicorn", "src.main:app", "--host", "0.0.0.0", "--port", "8000"]

Go 项目示例：从 ~1GB 到 ~10MB

1
# 阶段1：编译
2
FROM golang:1.22-alpine AS builder
3
WORKDIR /app
4
COPY go.mod go.sum ./
5
RUN go mod download
6
COPY . .
7
# 静态链接，无需任何运行时库
8
RUN CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o server ./cmd/server
9

10
# 阶段2：最小化运行镜像（甚至比 alpine 还小）
11
FROM scratch AS final
12
# scratch 是完全空的镜像！
13
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/  # HTTPS 需要
14
COPY --from=builder /app/server /server
15
EXPOSE 8080
16
ENTRYPOINT ["/server"]

3.3 .dockerignore 文件（必须配置）#

1
.git
2
.gitignore
3
**/.DS_Store
4
**/__pycache__
5
**/*.pyc
6
**/.pytest_cache
7
**/.mypy_cache
8
**/.ruff_cache
9
node_modules
10
dist
11
build
12
*.log
13
.env
14
.env.*
15
docker-compose*.yml
16
Dockerfile*
17
README.md
18
docs/

3.4 构建最佳实践总结#

1
✅ 使用特定版本 tag，不用 latest
2
✅ 多阶段构建分离构建环境和运行环境
3
✅ 先复制 package.json/requirements.txt，再安装依赖（利用层缓存）
4
✅ 合并相关 RUN 命令，减少层数
5
✅ 配置 .dockerignore 排除不必要文件
6
✅ 使用非 root 用户运行应用
7
✅ 只安装运行时需要的依赖（--no-dev / --only=production）
8
✅ 使用 alpine 或 slim 基础镜像

四、Docker 网络与数据持久化#

4.1 网络模式#

1
# ── 查看网络 ──────────────────────────────────────────────────
2
docker network ls
3
# NETWORK ID   NAME      DRIVER    SCOPE
4
# abc123       bridge    bridge    local   ← 默认网络
5
# def456       host      host      local
6
# ghi789       none      null      local
7

8
# ── 创建自定义网络 ────────────────────────────────────────────
9
docker network create my-app-network
10

11
# 自定义网络中的容器可以通过容器名互相访问
12
docker run -d --name db --network my-app-network postgres
13
docker run -d --name api --network my-app-network my-api
14
# api 容器中可以用 "db" 作为主机名访问数据库：
15
# postgresql://db:5432/mydb

网络模式	特点	适用场景
`bridge`（默认）	隔离网络，容器有独立 IP，通过端口映射访问宿主	常规单机部署
`host`	容器直接使用宿主网络，性能最好，无需端口映射	对网络性能要求高的场景
`none`	无网络，完全隔离	安全敏感场景
`overlay`	跨主机网络（Docker Swarm / K8s）	多机集群
自定义 bridge	与默认 bridge 类似，但支持 DNS 名称解析	推荐用于多容器项目

4.2 数据持久化#

1
# ── Volume（推荐方式）────────────────────────────────────────
2
# 由 Docker 管理的存储卷，默认在 /var/lib/docker/volumes/
3
docker volume create my-data
4
docker run -d -v my-data:/var/lib/postgresql/data postgres
5

6
# 查看 volume
7
docker volume ls
8
docker volume inspect my-data   # 查看实际存储路径
9

10
# ── Bind Mount（直接挂载宿主目录）──────────────────────────────
11
# 挂载宿主机目录到容器，开发环境常用（代码热更新）
12
docker run -d -v /home/user/myapp:/app my-app
13

14
# ── 临时存储（tmpfs，数据不持久）──────────────────────────────
15
docker run --tmpfs /tmp my-app    # 存在内存中，容器停止即消失

五、Docker Compose：多服务编排#

5.1 完整的 compose.yml 模板（Web + DB + Redis + Nginx）#

1
# compose.yml（Docker Compose v2 格式，无需 version 字段）
2

3
services:
4

5
  # ── 数据库 ────────────────────────────────────────────────────
6
  db:
7
    image: postgres:16-alpine
8
    container_name: app-db
9
    restart: unless-stopped
10
    environment:
11
      POSTGRES_DB:       myapp
12
      POSTGRES_USER:     appuser
13
      POSTGRES_PASSWORD: ${DB_PASSWORD}     # 从 .env 文件读取（不要硬编码密码！）
14
    volumes:
15
      - db-data:/var/lib/postgresql/data    # 数据持久化
16
      - ./init.sql:/docker-entrypoint-initdb.d/init.sql:ro  # 初始化 SQL
17
    networks:
18
      - backend
19
    healthcheck:
20
      test: ["CMD-SHELL", "pg_isready -U appuser -d myapp"]
21
      interval: 10s
22
      timeout: 5s
23
      retries: 5
24
      start_period: 30s
25

26
  # ── 缓存 ──────────────────────────────────────────────────────
27
  redis:
28
    image: redis:7-alpine
29
    container_name: app-redis
30
    restart: unless-stopped
31
    command: redis-server --appendonly yes --requirepass ${REDIS_PASSWORD}
32
    volumes:
33
      - redis-data:/data
34
    networks:
35
      - backend
36
    healthcheck:
37
      test: ["CMD", "redis-cli", "--no-auth-warning", "-a", "${REDIS_PASSWORD}", "ping"]
38
      interval: 10s
39
      timeout: 5s
40
      retries: 3
41

42
  # ── 应用服务 ──────────────────────────────────────────────────
43
  api:
44
    build:
45
      context: .
46
      dockerfile: Dockerfile
47
      target: final              # 多阶段构建：指定使用 final 阶段
48
    container_name: app-api
49
    restart: unless-stopped
50
    environment:
51
      DATABASE_URL: postgresql://appuser:${DB_PASSWORD}@db:5432/myapp
52
      REDIS_URL:    redis://:${REDIS_PASSWORD}@redis:6379/0
53
      SECRET_KEY:   ${SECRET_KEY}
54
    volumes:
55
      - ./logs:/app/logs          # 日志持久化
56
    networks:
57
      - frontend
58
      - backend
59
    depends_on:
60
      db:
61
        condition: service_healthy  # 等待 db 健康检查通过再启动
62
      redis:
63
        condition: service_healthy
64
    healthcheck:
65
      test: ["CMD", "curl", "-f", "http://localhost:8000/health"]
66
      interval: 30s
67
      timeout: 10s
68
      retries: 3
69

70
  # ── 反向代理 ──────────────────────────────────────────────────
71
  nginx:
72
    image: nginx:1.27-alpine
73
    container_name: app-nginx
74
    restart: unless-stopped
75
    ports:
76
      - "80:80"
77
      - "443:443"
78
    volumes:
79
      - ./nginx/nginx.conf:/etc/nginx/nginx.conf:ro
80
      - ./nginx/conf.d:/etc/nginx/conf.d:ro
81
      - ./certbot/www:/var/www/certbot:ro   # Let's Encrypt 验证文件
82
      - ./certbot/conf:/etc/letsencrypt:ro  # SSL 证书
83
    networks:
84
      - frontend
85
    depends_on:
86
      api:
87
        condition: service_healthy
88

89
# ── 数据卷 ────────────────────────────────────────────────────
90
volumes:
91
  db-data:
92
  redis-data:
93

94
# ── 网络 ──────────────────────────────────────────────────────
95
networks:
96
  frontend:    # nginx ↔ api 通信
97
    driver: bridge
98
  backend:     # api ↔ db, redis 通信（不对外暴露）
99
    driver: bridge
100
    internal: true   # 标记为内部网络，容器无法访问外部网络

5.2 环境变量管理（.env 文件）#

1
# .env（放在 compose.yml 同级目录，不要提交到 git！）
2
DB_PASSWORD=your-secure-db-password-here
3
REDIS_PASSWORD=your-secure-redis-password
4
SECRET_KEY=your-app-secret-key-at-least-32-chars
5

6
# .env.example（提交到 git 的模板，不含实际值）
7
DB_PASSWORD=change-me
8
REDIS_PASSWORD=change-me
9
SECRET_KEY=change-me

1
# .gitignore 中添加
2
.env
3
.env.local
4
.env.production

5.3 常用 Compose 命令#

1
# ── 启动与停止 ────────────────────────────────────────────────
2
docker compose up -d                  # 后台启动所有服务
3
docker compose up -d api              # 只启动 api 服务（及其依赖）
4
docker compose down                   # 停止并删除容器（保留 volumes）
5
docker compose down -v                # 停止并删除容器+volumes（⚠️ 会丢数据）
6
docker compose restart api            # 重启某个服务
7

8
# ── 构建 ──────────────────────────────────────────────────────
9
docker compose build                  # 构建所有有 build 配置的服务
10
docker compose build --no-cache api  # 强制不用缓存重新构建
11
docker compose up -d --build         # 构建后启动
12

13
# ── 查看状态 ──────────────────────────────────────────────────
14
docker compose ps                     # 查看服务状态
15
docker compose logs -f api            # 实时查看 api 日志
16
docker compose logs -f --tail 200     # 所有服务最后200行日志
17

18
# ── 操作运行中的服务 ──────────────────────────────────────────
19
docker compose exec api /bin/sh       # 进入 api 容器的 shell
20
docker compose exec db psql -U appuser -d myapp  # 进入数据库
21
docker compose exec api python manage.py migrate  # 运行 Django 迁移
22

23
# ── 扩缩容（多实例）────────────────────────────────────────────
24
docker compose up -d --scale api=3   # 运行 3 个 api 实例

5.4 Compose Watch（开发环境热更新）#

Docker Compose 2.22+ 支持 watch 功能，实现代码变更自动同步到容器：

1
# compose.yml 中的 api 服务添加 develop.watch
2
services:
3
  api:
4
    build: .
5
    develop:
6
      watch:
7
        - action: sync                    # 同步：直接将文件复制到容器
8
          path: ./src
9
          target: /app/src
10
          ignore:
11
            - __pycache__/
12
            - "*.pyc"
13
        - action: rebuild                 # 重建：依赖文件变化时重新构建镜像
14
          path: pyproject.toml
15
        - action: rebuild
16
          path: uv.lock

1
docker compose watch    # 启动 watch 模式（保持前台运行）

六、生产环境安全加固#

6.1 以非 root 用户运行#

1
# Dockerfile 中添加
2
RUN useradd --uid 10001 --no-create-home --shell /bin/false appuser
3
USER appuser

1
# 验证容器进程的运行用户
2
docker exec my-app whoami   # 应输出 appuser，不是 root

6.2 只读文件系统#

1
services:
2
  api:
3
    image: my-api
4
    read_only: true                  # 容器文件系统只读
5
    tmpfs:
6
      - /tmp:size=50m                # 需要写入的目录改用 tmpfs
7
    volumes:
8
      - ./logs:/app/logs             # 需要持久化的日志单独挂载

6.3 限制资源#

1
services:
2
  api:
3
    image: my-api
4
    deploy:
5
      resources:
6
        limits:
7
          cpus: '1.0'          # 最多使用 1 个 CPU 核心
8
          memory: 512M         # 最多使用 512MB 内存
9
        reservations:
10
          memory: 256M         # 保证 256MB 内存

6.4 Secrets 管理（Docker Swarm 方式或文件挂载）#

1
# 使用 Docker Secrets（Swarm 模式）
2
services:
3
  db:
4
    environment:
5
      POSTGRES_PASSWORD_FILE: /run/secrets/db_password  # 从文件读取密码
6
    secrets:
7
      - db_password
8

9
secrets:
10
  db_password:
11
    file: ./secrets/db_password.txt   # 本地文件（比 .env 更安全）

七、健康检查与自动重启#

7.1 健康检查配置详解#

1
# Dockerfile 中的健康检查
2
HEALTHCHECK --interval=30s \    # 检查间隔
3
            --timeout=10s \     # 单次检查超时
4
            --start-period=30s \# 容器启动后多少秒才开始检查
5
            --retries=3 \       # 连续失败几次才标记为 unhealthy
6
  CMD curl -f http://localhost:8000/health || exit 1

1
# 查看健康检查状态
2
docker inspect my-app | grep -A10 '"Health"'

7.2 重启策略选择#

策略	说明	适用场景
`no`	不自动重启（默认）	开发测试
`always`	总是重启，包括 Docker 守护进程重启后	核心业务服务
`unless-stopped`	自动重启，但手动停止后不再重启	推荐大多数场景
`on-failure[:N]`	只在退出码非 0 时重启，最多 N 次	批处理任务

八、实用技巧与命令#

1
# ── 查看容器占用的实际磁盘空间 ────────────────────────────────
2
docker system df
3
docker system df -v    # 详细信息（各 volume 大小）
4

5
# ── 复制文件到/从容器 ─────────────────────────────────────────
6
docker cp my-app:/app/logs/error.log ./local-error.log  # 从容器复制
7
docker cp ./config.json my-app:/app/config.json          # 复制到容器
8

9
# ── 查看容器内进程 ────────────────────────────────────────────
10
docker top my-app
11

12
# ── 监控资源使用（实时）───────────────────────────────────────
13
docker stats --format "table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}"
14

15
# ── 事件监控 ──────────────────────────────────────────────────
16
docker events --filter container=my-app   # 实时查看容器事件（启动/停止/健康检查等）
17

18
# ── 一次性运行容器后自动删除 ──────────────────────────────────
19
docker run --rm -it python:3.12-alpine python  # 退出后容器自动删除

相关文章：

本文基于 Docker Engine 26.x 和 Docker Compose v2.x 编写，旧版（docker-compose 独立命令）语法略有差异。请以 docker compose version 确认版本。