Docker 容器化：从镜像到 Compose 与多容器编排

0. 元信息

• 主题路径：docs/topics/docker-basics/README.md
• 主分类：工程技术
• 辅助分类：安全与可靠性
• 适合对象：会 Linux shell、进程、文件权限和基础网络的开发者
• 建议周期：4～6 周，每周 8～12 小时
• 前置知识：linux-dev-env
• 最终目标：能构建可重复、可扫描、非 root 的 image，用 Compose 部署并排查前后端、数据库、反向代理应用

1. 学习路线

image/container 基础 → Dockerfile 与 layer → registry 与 buildx
→ run 生命周期与资源限制 → network 与 volume
→ Compose 服务图 → 多阶段构建与缓存 → 安全、观测与故障处理

2. 阶段周数分配

3. 九阶段表

4. 第一周任务

Day 1 运行约定：使用 Docker Engine 与 Compose v2；记录 docker version、docker info、docker compose version。命令在测试环境运行，删除或 prune 前先列对象。

5. 阶段通用验收

1. 从空环境重做核心命令；2. 解释对象、生命周期与隔离边界；3. 保存配置、版本与原始输出；4. 测试失败路径；5. 每阶段至少三组实验；6. 记录 image size、build time、CPU/memory；7. 修改配置后用同一检查验证。

6. 最终验收

• 独立写 multi-stage Dockerfile、.dockerignore、healthcheck 与 compose.yaml；
• 完成至少 18 个实验，其中网络/存储、安全/故障各不少于 3 个；
• 会运行 docker save app:v1 | gzip > app.tgz 并恢复；
• 会运行 docker buildx build --platform linux/amd64,linux/arm64 -t app:v1，需要发布时补 --push；
• 完成综合项目并用 15 分钟解释 image 到 runtime 的链路。

7. 综合项目

首选：用 Docker Compose 部署一个含前后端 + 数据库 + 反向代理的完整 Web 应用。

必须包含独立 network、持久 volume、healthcheck、环境变量示例、非 root 应用 image、multi-stage build、资源限制、日志查看、数据库备份恢复、漏洞扫描、升级回滚和清理命令。敏感值不提交进 image 或仓库。

备选：写一个支持多阶段构建、镜像扫描、根用户禁用的生产级 Dockerfile。

项目交付需求说明、架构图、Dockerfile、compose.yaml、测试、运行说明、故障记录和 notes/retrospective.md。

8. 推荐开源资料

9. 学习资料汇聚（v0.3 自包含）

9.1 背景与动机

容器把应用进程、文件系统视图、网络与资源控制装进可分发单元。它共享宿主 kernel，不是轻量 VM。Docker 把 Linux namespace、cgroup、union filesystem、OCI image、registry 与易用 CLI 组合成开发交付流程。今天学 Docker，重点是可重复构建、隔离边界、供应链和运行证据。

9.2 概念地图

flowchart LR
  Dockerfile --> BuildKit --> Image --> Registry
  Image --> Container
  Registry --> Image
  Container --> Namespace
  Container --> Cgroup
  Container --> Network
  Container --> Volume
  Compose --> Container
  Compose --> Network
  Compose --> Volume
  Scan[SBOM / Trivy / Snyk] --> Image
  Observe[logs / events / stats] --> Container

Image 是只读 layer 与 config。container 在 image 上加 writable layer 并由 runtime 启动进程。Compose 声明一组 service、network、volume。扫描看制品风险，观测工具看运行状态。

9.3 基础知识讲解

9.3.1 论文 / 规范

9.3.2 书

9.3.3 博客 / 文档

9.3.4 人物

9.3.5 方法

还要能执行这些真实路径：docker scan app:v1 在当前安装提供该命令时运行；新环境更常用 docker scout cves app:v1、trivy image app:v1 或 Snyk Container。离线分发用 docker save app:v1 | gzip > app.tgz 与 gunzip -c app.tgz | docker load。

9.4 经典问题与经典案例

9.4.1 实战片段：多阶段 Dockerfile 与 .dockerignore

# syntax=docker/dockerfile:1.7
# 阶段 1：构建
FROM golang:1.25-alpine AS build
WORKDIR /src
RUN --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache/go-build \
    go mod download
COPY . .
RUN --mount=type=cache,target=/go/pkg/mod \
    --mount=type=cache,target=/root/.cache/go-build \
    CGO_ENABLED=0 go build -trimpath -ldflags="-s -w" -o /out/app .

# 阶段 2：运行时
FROM gcr.io/distroless/static-debian12:nonroot
COPY --from=build /out/app /app
USER nonroot:nonroot
EXPOSE 8080
HEALTHCHECK --interval=30s --timeout=3s --start-period=5s --retries=3 \
  CMD ["/app", "-health"]
ENTRYPOINT ["/app"]

# .dockerignore
.git
.idea
.vscode
node_modules
dist
build
*.log
.env
.env.*
notes/

# 构建、扫描、签名、SBOM、运行
docker buildx build \
  --platform linux/amd64,linux/arm64 \
  --tag ghcr.io/acme/app:v1 \
  --label org.opencontainers.image.revision=$(git rev-parse HEAD) \
  --push .

docker compose -f deploy/compose.yaml --env-file deploy/.env up -d
docker compose ps
docker compose logs --tail 100 -f api

# 镜像扫描与 SBOM
trivy image --severity HIGH,CRITICAL ghcr.io/acme/app:v1
grype ghcr.io/acme/app:v1
docker sbom ghcr.io/acme/app:v1 > app.spdx.json

# 签名与验签
cosign sign --key cosign.key ghcr.io/acme/app:v1
cosign verify --key cosign.pub ghcr.io/acme/app:v1

# 容量与清理
docker system df
docker system prune --filter "until=72h"

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

OCI 定义 image 与 runtime 契约，不定义完整编排。containerd 管高层生命周期，runc 执行 OCI bundle。CNI、CSI 面向编排系统；Docker bridge、volume driver 有自己的实现接口。Docker Compose 处理单机或 context 上的多服务应用，不替代 Kubernetes 的集群调度。

9.6.3 Structure

必须掌握 image manifest/config/layer、content digest、OCI bundle、config.json、namespace、cgroup、capability、seccomp、network namespace、mount、snapshotter。常用接口是 Docker CLI/API、Dockerfile、Compose Specification、registry HTTP API。

9.6.4 Ecosystem

Docker Engine 由 daemon、containerd、runc 等组成。替代或邻接实现有 Podman、Buildah、BuildKit、nerdctl、CRI-O、Kubernetes。扩展点包括 BuildKit frontend/cache exporter、network/volume/logging plugin、CNI 与 CSI driver。Compose 文件规范与具体 engine 支持范围要分开核对。

9.6.5 Depth Tiers

本计划目标是 L3。

9.6.6 Source

• Docker 官方文档：CLI、Dockerfile、BuildKit、Compose、rootless 与生产建议。
• Moby 项目仓库：Docker Engine 核心实现，Apache-2.0。
• containerd 仓库：runtime 管理实现，Apache-2.0。
• 引用版本快照日期：2026-07-30；实作前运行 docker version 与 docker compose version。

10. 常见误区

• 把 container 当 VM；
• 所有 image 都打 latest；
• 用 docker commit 代替 Dockerfile；
• 把 secret 写进 ENV、ARG 或 layer；
• 默认用 root 和全部 capabilities；
• 用 host network 逃避网络设计；
• 把 bind mount 和 named volume 混用却不写备份策略；
• 依赖 depends_on 代替 readiness；
• Dockerfile 一行一层，不考虑 cache 与 image size；
• 只看漏洞数量，不看修复版本和可利用路径；
• 线上随手 docker system prune -a --volumes；
• 只收日志，不收 health、events、资源和应用指标。

11. 所有知识点分类（统一规则）

1. 编程语言；2. 数据结构与算法；3. 计算机基础；4. 工程技术；5. Web 与后端；6. 前端与客户端；7. 数据与人工智能；8. 项目与职业能力；9. 安全与可靠性。

本计划归属：工程技术 主 + 安全与可靠性 辅。