Docker 那些事儿：从入门到不懵，咱们唠明白！

嘿，小伙伴们！是不是经常听身边搞开发、运维的朋友念叨 “Docker”，可每次凑过去想听听，又被一堆 “容器”“镜像”“部署” 之类的词儿绕得晕头转向？别慌，今天咱们就用唠嗑的方式，把 Docker 那点事儿掰扯清楚，不管你是刚接触编程的小白，还是想补补技术课的职场人，保证让你听得明明白白，以后再聊起 Docker 也能插上话！

1. 首先得搞清楚，Docker 到底是个啥呀？

其实 Docker 一点都不神秘，你可以把它理解成一个 “超级快递箱”。平时咱们寄东西，得找合适的箱子，还得担心里面的东西会不会被压坏、会不会和其他包裹串味，对吧？Docker 就不一样了，它能把咱们写的程序、需要的环境（比如什么数据库、运行工具之类的）全都打包进一个 “容器” 里，这个容器就像一个密封好的快递箱，不管你把它搬到 Windows 电脑、Linux 服务器，还是 Mac 上，里面的程序都能原封不动地跑起来，不用担心环境不兼容的问题。简单说，就是 “一次打包，到处运行”，特省心！

2. 那 Docker 里常说的 “容器” 和 “镜像”，到底有啥区别啊？

这俩词儿确实容易搞混，我给你举个生活里的例子你就懂了。你平时用的微信，是不是得先从应用商店下载安装包？那个安装包就相当于 Docker 里的 “镜像”—— 它是一个静态的文件，里面包含了程序运行需要的所有东西，比如代码、库、配置文件啥的。但安装包本身不能直接用啊，你得安装之后才能打开微信聊天，这个安装好之后能直接用的 “微信程序”，就相当于 “容器”。简单说，镜像就是 “模板”，容器就是 “模板跑起来的实例” ，一个镜像可以同时跑多个容器，就像你电脑上能同时登录两个微信账号一样。

3. 听着好像和虚拟机有点像？它们俩有啥不一样啊？

哈哈，很多人刚接触 Docker 的时候都会这么想！但其实差别大了去了。咱们先说说虚拟机，比如你在 Windows 电脑上装一个 VMware，再在里面装个 Linux 系统，这个 Linux 就是一个虚拟机。虚拟机的特点是 “重”—— 它会模拟一整套硬件，包括 CPU、内存、硬盘啥的，然后在上面跑一个完整的操作系统，你在虚拟机里操作，就跟用另一台电脑似的。但这样一来，虚拟机占的资源就特别多，启动也慢，可能要等好几分钟才能用。

而 Docker 就不一样了，它不模拟硬件，也不跑完整的操作系统，而是 “共享” 主机的操作系统内核。比如你主机是 Linux，Docker 容器里就不用再装一个 Linux 内核了，直接用主机的，只需要装程序运行需要的那部分库和配置就行。所以 Docker 容器特别 “轻”，启动速度超快，可能几秒钟就能起来，占的内存和硬盘也少，一台服务器上能跑几百个容器，要是虚拟机的话，可能十几个就满了。总结一下就是：虚拟机是 “隔了一堵墙的另一间房”，Docker 容器是 “同一间房里的不同隔间” ，资源占用和效率差远了！

4. 那我要是想试试 Docker，得怎么安装啊？难不难？

一点都不难！现在 Docker 的安装已经做得很傻瓜式了，不管你用的是 Windows、Mac 还是 Linux，步骤都很简单。比如 Windows 系统，你先去 Docker 官网（https://www.docker.com/）下载一个 “Docker Desktop for Windows”，然后双击安装，一路点 “下一步” 就行。不过要注意，Windows 10 及以上版本才支持，而且得开启 “虚拟化” 功能（一般在电脑 BIOS 里设置，网上搜一下自己电脑型号的开启方法就行）。

Mac 用户更简单，下载 “Docker Desktop for Mac”，拖到应用程序文件夹里就能用。Linux 的话，比如 Ubuntu 系统，只需要在终端里输几条命令：先更新一下软件源，然后安装 Docker 的依赖包，最后下载安装 Docker，几分钟就能搞定。安装完之后，打开终端输一句 “docker –version”，能显示版本号就说明装好了，是不是超简单？

5. 安装好之后，怎么用 Docker 跑第一个程序啊？比如整个简单的 Hello World？

这个更简单，咱们一步一步来。首先打开终端（Windows 用 PowerShell 或者命令提示符，Mac 和 Linux 直接用终端），然后输一条命令：docker run hello-world。输完之后按回车，你就会看到 Docker 开始干活了 —— 它会先检查你电脑上有没有 “hello-world” 这个镜像，如果没有，就自动从网上的 “Docker Hub”（相当于 Docker 的应用商店）下载下来，然后用这个镜像启动一个容器，容器跑起来之后，就会在屏幕上输出 “Hello from Docker!” 之类的文字，告诉你运行成功了。

整个过程你啥都不用管，就输一条命令，Docker 自己会搞定下载和运行，是不是很神奇？等你看到那句 “Hello from Docker!”，就说明你已经成功用 Docker 跑通第一个程序啦，是不是超有成就感？

6. 刚才提到的 “Docker Hub” 是啥呀？上面都有啥东西？

Docker Hub 就相当于 Docker 的 “应用商店”，跟你手机上的应用商店一样，里面有各种各样的镜像，你想用什么程序，不用自己从零开始做镜像，直接从上面下载现成的就行，省老多事了。比如你想跑个 MySQL 数据库，不用自己装 MySQL、配置环境，直接在 Docker Hub 上搜 “mysql”，找到官方的镜像，输一条命令就能下载下来，然后启动容器就能用了。

Docker Hub 上的镜像特别多，不光有官方的（比如 MySQL、Nginx、Redis 这些常用软件的官方镜像），还有很多开发者上传的自定义镜像。你也可以把自己做的镜像上传到 Docker Hub 上，分享给别人用。不过要注意，有些镜像可能不是官方的，下载的时候最好看一下星级和评价，避免踩坑。

7. 那要是我想自己做一个镜像，比如把我写的 Python 脚本打包进去，该咋弄啊？

其实也不难，主要靠一个叫 “Dockerfile” 的文件。你可以把 Dockerfile 理解成一个 “食谱”，里面写清楚了做这个镜像需要哪些材料（比如基础镜像、你的代码文件），以及怎么做（比如安装依赖、设置启动命令）。咱们举个例子，假设你有一个 Python 脚本叫 “app.py”，想把它做成镜像，步骤大概是这样的：

第一步，在你的脚本所在的文件夹里，新建一个叫 “Dockerfile” 的文件（注意没有后缀名）；

第二步，在 Dockerfile 里写几行代码：

第一行：FROM python:3.9，意思是 “以官方的 Python 3.9 镜像为基础”，就像你做饭得先有个锅底一样；
第二行：WORKDIR /app，意思是 “在容器里创建一个叫 /app 的文件夹，以后所有操作都在这个文件夹里进行”；
第三行：COPY . /app，意思是 “把你电脑上当前文件夹里的所有文件（包括 app.py）复制到容器的 /app 文件夹里”；
第四行：RUN pip install requests，意思是 “在容器里安装 requests 这个 Python 库（如果你的脚本需要的话）”；
第五行：CMD [“python”, “app.py“]，意思是 “容器启动的时候，自动运行 python app.py 这条命令”。

第三步，在终端里进入这个文件夹，输命令：docker build -t my-python-app .，这里 “my-python-app” 是你给镜像起的名字，后面的 “.” 表示 “在当前文件夹里找 Dockerfile”。等命令执行完，你用docker images命令就能看到你做的镜像了，然后用docker run my-python-app就能启动容器跑你的脚本啦！

8. 容器跑起来之后，我怎么看它的状态啊？要是想停了它或者删了它，该用啥命令？

这个也有专门的命令，很好记。首先，想看看当前有哪些容器在运行，输docker ps就行，它会显示容器的 ID、名字、状态、启动时间这些信息。要是想看看所有容器（包括已经停止的），就输docker ps -a。

如果想停掉一个正在运行的容器，有两种方法：一种是用容器 ID，比如docker stop 容器ID前几位（不用输全，只要能区分开就行）；另一种是用容器名字，比如docker stop 容器名（容器名可以在启动的时候用–name参数自己起，比如docker run –name my-container hello-world）。

要是想删除一个已经停止的容器，就用docker rm 容器ID或名字。如果想删除一个正在运行的容器，得先停掉它再删，或者直接用docker rm -f 容器ID或名字强制删除。另外，要是想删除镜像，就用docker rmi 镜像ID或名字，不过要注意，要是这个镜像还在跑容器，得先删了容器才能删镜像，不然会报错。

9. 有时候程序运行会产生数据，比如数据库里的数据，要是容器删了，这些数据会不会也没了啊？

这个问题问得好！默认情况下，容器里的数据是 “临时” 的，就像你在网吧电脑上存文件，关机之后就没了一样。要是你把容器删了，里面的数据确实会跟着消失，这肯定不行啊，比如你用 Docker 跑 MySQL，删了容器数据没了，那不就完蛋了？

所以 Docker 提供了 “数据卷”（Volume）这个功能，专门用来保存数据。你可以把数据卷理解成一个 “外接硬盘”，你把它挂载到容器的某个文件夹上，容器里这个文件夹的数据就会自动存在外接硬盘里，就算容器删了，外接硬盘里的数据还在，下次再启动新的容器，再把这个数据卷挂载上去，就能继续用之前的数据了。

比如你跑 MySQL 的时候，可以用这条命令：docker run -d –name mysql -v mysql-data:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=123456 mysql。这里的-v mysql-data:/var/lib/mysql就是说 “创建一个叫 mysql-data 的数据卷，挂载到容器的 /var/lib/mysql 文件夹上”（MySQL 的数据默认存在这个文件夹里）。这样就算你把 mysql 容器删了，mysql-data 数据卷里的数据还在，下次再启动 MySQL 容器的时候，再挂载这个数据卷，数据就回来了，特别方便。

10. 那要是我想让多个容器互相配合工作，比如一个 Web 容器和一个数据库容器，它们俩怎么通信啊？

这个简单，Docker 有个 “网络” 功能，你可以创建一个 Docker 网络，然后把多个容器都加入到这个网络里，这样它们之间就能通过容器名字互相通信了，不用记 IP 地址，特别方便。

举个例子，咱们先创建一个网络，叫 my-network：docker network create my-network。然后启动一个 MySQL 容器，加入这个网络，名字叫 db：docker run -d –name db –network my-network -v mysql-data:/var/lib/mysql -e MYSQL_ROOT_PASSWORD=123456 mysql。接着再启动一个 Web 容器（比如 Nginx 或者你自己写的 Web 程序），也加入这个网络，名字叫 web：docker run -d –name web –network my-network -p 80:80 my-web-app。

这时候，在 web 容器里，你想连接 MySQL 数据库，就不用写 MySQL 的 IP 地址了，直接写 “db” 就行（因为 db 是 MySQL 容器的名字，在同一个网络里，容器之间能通过名字解析到对方的 IP）。比如你的 Web 程序里连接 MySQL 的地址写 “db:3306”（3306 是 MySQL 的默认端口），就能成功连接到数据库了，是不是很灵活？

11. 我看有时候别人用 Docker 的时候，会提到 “Docker Compose”，这又是个啥东西啊？

你想啊，要是你有好几个容器要管理，比如 Web、数据库、Redis、Elasticsearch，每个容器都要输一条启动命令，还要设置网络、数据卷、环境变量，多麻烦啊！要是容器多了，记都记不住，而且每次启动都要输一堆命令，效率太低了。

Docker Compose 就是为了解决这个问题的，它能让你用一个 YAML 文件（通常叫 docker-compose.yml），把所有容器的配置都写进去，比如容器名字、用哪个镜像、挂载哪个数据卷、加入哪个网络、暴露哪个端口等等。然后你只需要输一条命令docker-compose up，Docker 就会按照这个文件里的配置，自动创建网络、启动所有容器，还会保证它们之间的依赖关系（比如先启动数据库，再启动 Web）。

比如你有 Web 和数据库两个容器，用 Docker Compose 的话，只需要写一个 docker-compose.yml 文件，里面分别配置 web 和 db 两个服务的参数，然后输docker-compose up -d（-d 表示后台运行），就能同时启动两个容器，而且它们自动在同一个网络里，能互相通信。要是想停掉所有容器，就输docker-compose down，特别方便，适合管理多容器的应用。

12. 那 Docker 有没有什么需要注意的坑啊？比如新手容易犯的错误？

肯定有啊！新手刚开始用 Docker，很容易踩一些小坑，我给你说几个常见的：

第一个坑是 “忘记挂载数据卷”，结果容器删了数据没了，哭都来不及，所以只要是需要保存数据的容器，一定要记得挂载数据卷；

第二个坑是 “端口冲突”，比如你启动一个容器，把容器的 80 端口映射到主机的 80 端口（用 – p 80:80），但你主机上已经有 Nginx 在跑 80 端口了，这时候 Docker 就会报错，启动不了容器，所以映射端口的时候，要先看看主机上这个端口有没有被占用，可以用netstat -tuln（Linux/Mac）或者netstat -ano（Windows）查一下；

第三个坑是 “镜像太大”，新手做镜像的时候，容易把不必要的文件也复制进去，比如日志文件、缓存文件，导致镜像特别大，下载和启动都慢。其实可以在 Dockerfile 里用.dockerignore文件（跟.gitignore 类似），把不需要的文件排除掉，还可以用 “多阶段构建” 减少镜像体积；

第四个坑是 “容器权限问题”，有时候容器里的程序需要读写主机上的文件，但因为权限不够报错，这时候可以在启动容器的时候用-u参数指定用户，或者调整主机文件夹的权限，不过要注意安全，别给太高权限。

13. 那 Docker 安全吗？会不会有什么安全风险啊？

这个得客观说，Docker 本身是安全的，但如果用得不当，确实会有一些风险。比如刚才说的权限问题，要是你启动容器的时候用了–privileged参数，给了容器很高的权限，那容器里的程序就有可能突破容器的限制，访问到主机的敏感文件，这就有风险了。

还有镜像安全的问题，要是你下载了非官方的、来源不明的镜像，里面可能藏着恶意程序，运行之后会窃取数据或者破坏系统。另外，Docker 的版本如果太旧，可能存在一些已知的漏洞，也会有安全风险。

不过这些风险都是可以规避的：比如尽量用官方镜像，下载非官方镜像前仔细检查；启动容器的时候不要随便给高权限，能不用–privileged就不用；定期更新 Docker 到最新版本，修复已知漏洞；还有，给 Docker 设置访问控制，比如用 TLS 加密远程连接，防止别人随便操作你的 Docker。只要注意这些，Docker 用起来还是很安全的。

14. 我是个前端开发，平时就写 Vue、React 项目，Docker 对我有用吗？

太有用了！比如你开发 Vue 项目的时候，是不是经常遇到 “在我电脑上能跑啊，怎么到你那儿就报错了” 的问题？有时候是因为 Node 版本不一样，有时候是因为依赖包安装有问题。用 Docker 的话，你可以把 Vue 项目和需要的 Node 环境打包成镜像，不管是在自己电脑上开发，还是交给测试、运维部署，都用同一个镜像，就不会有环境不兼容的问题了。

还有，前端项目部署的时候，通常要用到 Nginx 来托管静态文件。你可以用 Docker 跑一个 Nginx 容器，把打包好的前端文件挂载到容器里，部署起来特别快，而且要是想更新版本，只需要重新挂载新的文件，或者重新构建一个镜像就行，不用在服务器上手动装 Nginx、配置 conf 文件，省老多事了。

另外，要是你需要和后端联调，后端同事用 Docker 跑了数据库、接口服务，你只需要把你的前端容器加入到同一个 Docker 网络里，就能直接连接后端服务，不用再配置复杂的代理，联调效率也高多了。