Docker 容器技术入门与实践指南

1. 为什么需要容器技术

1.1 开发与交付中的典型问题

在日常开发中，很多团队都会遇到类似的问题：本地环境可以正常运行的程序，换一台机器就出现依赖缺失、版本冲突或系统库不兼容；想体验某个新工具，又担心安装过程污染当前系统环境；为新成员搭建开发环境，需要反复配置操作系统、运行时、依赖包和路径变量，耗时且容易遗漏。

这些问题的本质在于：应用程序不仅依赖自身的代码，还依赖操作系统组件、运行时版本、第三方库、环境变量和配置信息。传统方式下，这些依赖分散在不同的机器上，难以保持一致。

1.2 容器的解决思路

容器技术的核心思路是“一次封装，到处运行”。开发者可以把应用程序及其全部依赖打包成一个标准化的单元，这个单元可以在任何支持容器运行时的环境中启动，而不需要关心目标机器的底层差异。

这种能力极大简化了软件交付流程：开发环境、测试环境、预发布环境和生产环境可以使用同一个容器镜像，减少环境差异导致的问题；也可以快速启动、停止和销毁应用，避免对宿主机环境的污染。

1.3 用日常场景理解容器

可以把容器技术类比为标准化食品配送：传统方式下，想吃一道菜需要自己采购食材、准备厨具、掌握烹饪流程，换一个厨房就可能因为设备或食材不同而做不出同样的味道。标准化的食品配送则把成品封装在统一餐盒中，附带加热方式，拿到任何地方都能获得一致体验。

在这个类比中，打包好的完整餐食相当于“镜像”；打开后正在被享用的那一份相当于“容器”；提供各种餐食选择的平台相当于“仓库”。

2. 核心概念：镜像、容器与仓库

2.1 镜像

镜像是构建容器的基础模板。它是一个只读的、分层存储的软件包，包含运行某个应用所需的文件系统内容、依赖库、配置和启动信息。镜像本身不运行，只作为静态的定义存在。多个镜像可以共享相同的基础层，从而节省存储空间。

从软件交付的角度理解，镜像类似于一个完整的安装包，但它不仅包含程序本身，还包含运行程序所需的系统级组件和依赖环境。

2.2 容器

容器是镜像的运行实例。通过启动镜像，系统会创建一个可读写的容器层，并在其中运行指定进程。每个容器拥有独立的进程空间、网络环境和文件系统视图，相互之间互不干扰。容器可以被创建、启动、停止、删除，状态变化不会影响镜像本身。

容器与镜像的关系可以理解为：镜像是模板，容器是根据模板创建的活跃实例。同一个镜像可以同时运行出多个容器，每个容器拥有独立的运行状态和数据。

2.3 仓库

仓库是镜像的存储和分发平台。开发者可以从仓库拉取公共镜像，也可以推送自定义镜像供团队或公众使用。仓库支持版本管理，通常使用标签来区分同一镜像的不同版本。

常见的仓库分为公共仓库和私有仓库。公共仓库提供大量基础镜像和常用软件镜像，适合快速获取通用环境；私有仓库适合团队内部共享定制化镜像，满足安全和管理需求。

3. Docker 的工作原理

容器技术基于操作系统层面的资源隔离和限制能力实现。在 Linux 系统上，核心依赖包括：

• 命名空间机制：为每个容器提供独立的进程视图、网络栈、挂载点、用户和主机名等资源，使容器内的进程认为自己运行在独立系统中。
• 控制组机制：限制和审计容器可使用的 CPU、内存、磁盘输入输出等资源，防止单个容器耗尽宿主机资源。
• 联合文件系统：将多个只读镜像层和一个可写容器层叠加，形成统一文件视图。容器对文件的修改记录在可写层，不影响底层镜像。

Docker 作为容器运行时和工具链，负责管理这些操作系统的底层能力，同时提供镜像构建、版本管理、网络配置、存储卷管理和生命周期控制等功能，显著简化了容器的使用门槛。

4. 安装与环境准备

4.1 Linux 环境

在主流 Linux 发行版上，可以通过系统自带的包管理器安装 Docker 引擎。安装完成后，将当前用户加入 Docker 用户组可避免每次执行命令都需要提升权限。使用以下命令可以验证安装是否成功：

docker version

该命令会分别显示客户端和服务端的版本信息，两端均正常返回即表示安装基本成功。

4.2 macOS 与 Windows 环境

在桌面操作系统中，容器运行依赖轻量级虚拟机或系统内置的虚拟化框架。安装桌面版 Docker 后，会同时安装后台运行所需的虚拟机组件和命令行工具。桌面环境通常还会提供图形化管理界面，方便查看镜像、容器和资源占用情况。

4.3 镜像加速配置

由于公共镜像仓库的网络访问速度在不同地区可能差异较大，可以通过修改配置指定镜像加速地址。具体配置文件位置和格式因版本而异，可以在安装后查阅官方文档或帮助信息。修改配置后需要重启服务或在桌面版中应用设置。

5. 常用操作命令

5.1 获取镜像

使用 docker pull 命令可以从仓库下载镜像：

docker pull python:3.12-slim

拉取时可以通过标签指定版本。如果不指定标签，默认获取 latest 标签对应的版本。下载完成后，镜像会存储在本地。

5.2 查看镜像

使用 docker images 可以列出本地已有的镜像，包括镜像名称、标签、镜像 ID、创建时间和占用空间等信息。

5.3 运行容器

docker run 是最常用的命令之一。基本用法如下：

docker run [选项] 镜像名 [命令]

常用选项包括：

• -d：在后台运行容器
• -p 宿主机端口:容器端口：映射端口
• -v 宿主机目录:容器目录：挂载数据卷
• --name 容器名：指定容器名称
• --rm：容器停止后自动删除
• -it：交互式运行并分配终端

如果只需要临时测试，可以将运行和删除合并：

docker run --rm python:3.12-slim python --version

5.4 查看容器

docker ps 可以列出正在运行的容器。加上 -a 参数可以查看所有容器，包括已停止的：

docker ps
docker ps -a

输出信息包括容器 ID、使用的镜像、运行命令、创建时间、状态、端口映射和名称。

5.5 进入运行中的容器

当容器在后台运行时，可能需要进入容器内部执行诊断或操作。docker exec 命令可以在运行中的容器里执行命令：

docker exec -it 容器名或ID /bin/bash

-it 参数用于分配交互式终端，/bin/bash 表示进入后启动一个 shell。退出容器时使用 exit 即可，容器本身不会因退出而停止。

5.6 停止、删除容器与镜像

停止容器使用 docker stop，删除容器使用 docker rm：

docker stop 容器名或ID
docker rm 容器名或ID

如果容器正在运行，默认无法直接删除，需要先停止或使用 -f 参数强制删除。对于已经停止且不再需要的容器，建议及时清理，避免占用磁盘空间。

删除镜像使用 docker rmi：

docker rmi 镜像名或镜像ID

如果镜像正在被某个容器占用，需要先删除相关容器后才能删除镜像。

6. 常见问题与排查思路

6.1 镜像拉取慢或超时

这通常由网络链路引起。可以尝试更换镜像加速地址、检查网络代理设置或使用其他网络环境。部分企业环境对镜像仓库域名有访问限制，需要确认防火墙或安全策略是否放行相关流量。

6.2 容器启动后立即退出

部分镜像默认启动命令执行完毕后会自动退出。例如 python 镜像不加任何参数直接运行时，由于没有交互终端和持续运行的前台进程，会很快退出。解决办法是使用 -it 进入交互模式，或指定一个持续运行的前台命令。

6.3 端口冲突

启动容器时如果指定的宿主机端口已被其他进程占用，容器可能启动失败或无法正常访问。使用 docker ps 查看已占用端口，更换映射端口即可。

6.4 权限不足

在 Linux 上执行 docker 命令时如果出现权限相关提示，通常是因为当前用户不属于 Docker 用户组。将用户加入该组后需要重新登录会话使配置生效。

7. 第一个实践：运行 Python 容器

7.1 准备 Python 文件

在宿主机上准备一个简单的 Python 脚本，例如 hello.py：

print("Hello from Python container")

7.2 拉取 Python 镜像

docker pull python:3.12-slim

slim 标签表示该镜像在完整版基础上精简了部分非必要组件，体积更小，适合快速测试和部署。

7.3 方式一：进入容器后执行

这种模式适合需要多次操作或进行调试的场景。首先启动一个交互式容器，并挂载脚本所在目录到容器内部：

docker run -it --rm -v $(pwd):/workspace python:3.12-slim /bin/bash

进入容器后：

cd /workspace
python hello.py

执行完毕后退出 shell，容器随 --rm 参数自动删除。

7.4 方式二：一次性直接执行

如果只需要运行一次命令，可以直接在 docker run 后指定完整执行内容：

docker run --rm -v $(pwd):/workspace python:3.12-slim python /workspace/hello.py

这种方式不会进入交互终端，命令执行完成后容器自动停止并删除，适合批处理和自动化场景。

8. 第二个实践：编译并运行 C/C++ 程序

8.1 理解编译环境隔离

C/C++ 程序依赖编译器和标准库，不同系统上的编译器版本和库版本可能导致二进制文件不兼容。在容器中编译可以有效固定编译环境，保证产物的一致性。

8.2 准备 C 源文件

创建 main.c：

#include <stdio.h>
int main() {
    printf("Hello from C container\n");
    return 0;
}

8.3 拉取 GCC 镜像

docker pull gcc:13

8.4 方式一：进入容器后编译运行

这种模式适合需要反复调整代码或进行调试的情况。启动交互式容器：

docker run -it --rm -v $(pwd):/workspace gcc:13 /bin/bash

进入容器后编译并运行：

cd /workspace
gcc main.c -o main
./main

调试完成后退出 shell，容器自动清理。

8.5 方式二：一次性编译运行

如果不需要反复调试，可以将编译和运行步骤串联起来：

docker run --rm -v $(pwd):/workspace gcc:13 bash -c "cd /workspace && gcc main.c -o main && ./main"

这种方式将多个命令通过 shell 的 -c 参数在容器内按顺序执行，执行完成后容器自动删除。

9. 镜像构建与自定义

当需要使用自定义环境和应用代码时，可以编写 Dockerfile 构建专属镜像。Dockerfile 是一种声明式文本，描述镜像的构建步骤，例如：

FROM python:3.12-slim
WORKDIR /app
COPY requirements.txt .
RUN pip install --no-cache-dir -r requirements.txt
COPY app.py .
CMD ["python", "app.py"]

使用 docker build -t 镜像名:标签 . 可以基于该文件构建新镜像。构建完成后，可以像使用公共镜像一样运行它。通过 Dockerfile，开发团队可以将环境准备和依赖安装步骤代码化，确保每次构建结果一致。

10. 存储管理与磁盘空间回收

10.1 空间占用来源

Docker 运行一段时间后，磁盘空间可能被以下内容占用：

• 不再使用的镜像
• 停止且未删除的容器
• 构建过程中产生的中间层
• 容器产生的无主数据卷

10.2 查看空间使用

可以使用以下命令查看整体占用情况：

docker system df

该命令会显示镜像、容器、数据卷和构建缓存的空间使用概览。

10.3 清理无用资源

• 删除所有停止的容器：

docker container prune

• 删除未被任何容器引用的悬空镜像：

docker image prune

• 综合清理未使用的镜像、容器、网络等：

docker system prune -a

使用 -a 参数会删除所有未被运行中容器使用的镜像，清理力度更大，执行前需确认无重要数据依赖。在生产环境中，建议建立定期清理策略，避免磁盘空间耗尽影响服务稳定性。

11. 总结

容器技术通过将应用及其依赖封装为标准单元，解决了跨环境移植和交付一致性问题。镜像、容器和仓库构成了容器生态中最基础的三个概念；常用命令覆盖了从镜像获取、容器运行、状态查看到资源清理的完整生命周期。

对于初学者，建议从简单的 Python 和 C/C++ 示例入手，理解容器内外的工作方式和文件挂载机制。在掌握常用命令后，可以进一步尝试编写 Dockerfile 构建自定义镜像，并结合实际项目需求规划镜像版本和存储管理策略。容器技术是软件交付方式的重要演进，掌握其基本原理和操作技能，有助于在开发部署中减少环境问题、提升协作效率。