搞技術(shù)這么多年Docker 的命令翻來覆去就那些但每次一到關(guān)鍵場景總有人開始現(xiàn)場查文檔。尤其是現(xiàn)在容器化已經(jīng)成了標(biāo)配連寫個小的演示項目都要起個數(shù)據(jù)庫容器Docker 用得熟不熟直接決定你排查問題的效率。我整理了一份自己平時用得最多、也最值得記的 Docker 常用命令偏實戰(zhàn)向按照鏡像、容器、網(wǎng)絡(luò)存儲、編排、故障排查這幾個維度來組織。不管你是剛?cè)腴T還是已經(jīng)寫了好幾年服務(wù)這份清單都能讓你少踩一些坑。很多人覺得 Docker 命令隨便搜一下就有一堆但真正用起來你會發(fā)現(xiàn)網(wǎng)上很多資料要么太老要么只貼命令不講為什么。比如docker run的參數(shù)幾十個你不可能全記住但你得知道哪些是天天用的哪些是出問題才用的。我這篇不會把文檔抄一遍而是挑出真實場景里高頻出現(xiàn)的操作把參數(shù)背后的邏輯講清楚順手把我踩過的坑也一并列出來。1. 鏡像管理一切容器的起點鏡像這塊是最基礎(chǔ)的部分但也是很多人一開始就搞混的地方。鏡像和容器的關(guān)系可以理解成“程序文件”和“運(yùn)行中的進(jìn)程”鏡像是靜態(tài)的容器是運(yùn)行態(tài)。你從倉庫拉鏡像、構(gòu)建鏡像、給鏡像打標(biāo)簽、清理沒用的鏡像這些操作幾乎每天都在發(fā)生。1.1 拉取與查看先搞清楚倉庫里的東西長什么樣拉鏡像是所有操作的第一步。最常見的命令就是docker pull比如要拉一個基礎(chǔ)鏡像docker pull ubuntu:22.04這里有個細(xì)節(jié)值得注意如果你不寫標(biāo)簽?zāi)J(rèn)拉的是latest。latest這個名字只代表“最新推送的”并不保證穩(wěn)定也不能保證和你的代碼兼容。所以正式項目里我強(qiáng)烈建議任何鏡像都帶上明確的版本號比如ubuntu:22.04、node:20-alpine別等到某天latest變了內(nèi)容導(dǎo)致服務(wù)起不來的時候再后悔。拉完鏡像之后用docker images查看本地有哪些鏡像docker images輸出里會顯示倉庫名、標(biāo)簽、鏡像 ID、創(chuàng)建時間和大小。偶爾你會發(fā)現(xiàn)同一個鏡像有多個標(biāo)簽其實它們可能指向同一個鏡像 ID本質(zhì)上是同一份內(nèi)容只是起了幾個別名。查看更詳細(xì)的信息可以用docker inspect 鏡像名或ID這個命令輸出的是一大段 JSON里面包含鏡像的架構(gòu)、環(huán)境變量、默認(rèn)命令、入口點等元信息。很多時候容器起不來就是因為鏡像的默認(rèn)Entrypoint或Cmd和你的預(yù)期不一樣inspect就能幫你發(fā)現(xiàn)這些隱藏配置。1.2 構(gòu)建與標(biāo)簽管理把項目變成鏡像的核心操作自己在本地構(gòu)建鏡像時最常用的是docker builddocker build -t myapp:1.0.0 .-t就是給鏡像起名字和標(biāo)簽myapp是倉庫名1.0.0是標(biāo)簽最后的.表示使用當(dāng)前目錄下的Dockerfile作為構(gòu)建上下文。一個常見的誤區(qū)是想用 Dockerfile 里的東西去替換本地文件或者反過來。實際上docker build打包的是構(gòu)建上下文里的文件而不是宿主機(jī)任意路徑的文件。你在 Dockerfile 里寫COPY ./app /app這個./app是相對構(gòu)建上下文說的不是相對宿主機(jī)當(dāng)前目錄的。所以如果你的項目很大構(gòu)建上下文里有很多無關(guān)文件記得寫一個.dockerignore文件和.gitignore一個道理把node_modules、.git、target這些目錄排除掉構(gòu)建速度會有肉眼可見的提升。構(gòu)建這塊這兩年有個重要變化就是默認(rèn)的構(gòu)建引擎已經(jīng)切到了 BuildKit。你不需要額外做什么只要你的 Docker 版本夠新docker build就是在用 BuildKit。它的好處是可以并發(fā)執(zhí)行構(gòu)建步驟、更好地利用緩存、支持跨平臺構(gòu)建還可以把密文參數(shù)在構(gòu)建時傳遞而不寫入鏡像層。如果你需要指定平臺比如在蘋果芯片上構(gòu)建 amd64 的鏡像可以加平臺參數(shù)docker build --platform linux/amd64 -t myapp:1.0.0 .構(gòu)建完之后如果你想給鏡像換個標(biāo)簽或者準(zhǔn)備推到遠(yuǎn)程倉庫用docker tagdocker tag myapp:1.0.0 registry.example.com/myapp:1.0.0這個命令不會復(fù)制鏡像而是給同一個鏡像增加一個引用名稱操作非常輕量。推送到遠(yuǎn)程倉庫用docker pushdocker push registry.example.com/myapp:1.0.0推送前需要先用docker login登錄對應(yīng)的鏡像倉庫這一步經(jīng)常有人漏了導(dǎo)致 push 的時候報權(quán)限錯誤。1.3 鏡像清理與瘦身本地磁盤告急時的救命操作跑時間長了本地會堆積大量鏡像特別是每次構(gòu)建都會產(chǎn)生新的層和懸空鏡像。懸空鏡像就是那些沒有標(biāo)簽、也沒有被任何容器引用的鏡像層通常用none:none顯示。查看占用空間可以用docker system df這個命令會列出鏡像、容器、卷、構(gòu)建緩存各自占了多少空間。清理懸空鏡像docker image prune如果想把沒被任何容器使用的鏡像全都刪掉用docker image prune -a但這里要提醒一下-a很激進(jìn)它會把所有沒有被容器引用的鏡像都清理掉哪怕你只是暫時不用它。如果你只是想清理構(gòu)建緩存用docker builder prune這個也是 BuildKit 時代才有的命令以前管理構(gòu)建緩存只能靠刪除整個 Docker 數(shù)據(jù)目錄非常痛苦。鏡像瘦身還有一個思路是在構(gòu)建階段就控制體積。比如優(yōu)先選alpine這類瘦身版基礎(chǔ)鏡像用多階段構(gòu)建把編譯工具鏈和運(yùn)行產(chǎn)物分離開最終只把運(yùn)行所需的內(nèi)容復(fù)制到最終鏡像。這類操作直接影響的是鏡像倉庫的拉取速度和部署效率值得花時間優(yōu)化。2. 容器生命周期命令日常使用頻率最高的一批鏡像只是靜態(tài)產(chǎn)物真正干活的是容器。創(chuàng)建容器、啟動、停止、進(jìn)入容器、看日志、刪容器這些操作構(gòu)成了日常工作的主旋律。這一部分的命令雖然看著簡單但每個參數(shù)背后都有具體的場景用對了能省很多事情。2.1 創(chuàng)建與啟動run 命令的常用參數(shù)一定要背熟docker run是使用頻率最高的命令它負(fù)責(zé)從鏡像創(chuàng)建并啟動一個容器。最簡單的用法docker run -d --name web -p 8080:80 nginx:1.25-d表示后臺運(yùn)行--name給容器起個名字-p做端口映射把宿主機(jī)的 8080 端口映射到容器內(nèi)的 80 端口最后是鏡像名。啟動后終端會直接返回一個容器 ID然后你就可以用其他命令去管理它了。我這里解釋一下-p的底層邏輯因為很多人只記住了格式不理解為什么有時映射不上。-p 8080:80宿主機(jī)端口在左容器端口在右。訪問外網(wǎng)的http://宿主機(jī)IP:8080流量會進(jìn)入容器內(nèi)的 80 端口。如果你只寫-p 80Docker 會隨機(jī)分配一個宿主機(jī)端口你反而不容易確定訪問地址。另一個高頻參數(shù)是-v用于掛載存儲卷docker run -d --name db -v mysql_data:/var/lib/mysql -e MYSQL_ROOT_PASSWORDsecret mysql:8.0-v mysql_data:/var/lib/mysql表示把名為mysql_data的存儲卷掛載到容器內(nèi)的/var/lib/mysql數(shù)據(jù)寫在卷里容器刪了數(shù)據(jù)還在。卷的細(xì)節(jié)后面單獨講這里只要明白-v就是用來持久化數(shù)據(jù)的。還有一個容易被忽略但在生產(chǎn)環(huán)境非常關(guān)鍵的參數(shù)docker run -d --name app --restart unless-stopped myapp:1.0.0--restart unless-stopped表示如果容器因為異常退出Docker 會自動重啟它。唯一不自動重啟的情況是管理員手動執(zhí)行了docker stop。這個參數(shù)對長期運(yùn)行的容器來說幾乎是必加的很多人剛起步時不加結(jié)果服務(wù)器一重啟或者進(jìn)程崩了容器就永遠(yuǎn)停在退出狀態(tài)其他人還得手動拉起來。-e用來設(shè)置環(huán)境變量比如剛才的MYSQL_ROOT_PASSWORD。對于需要注入配置的場景環(huán)境變量是最常用的方式。可以在宿主機(jī)上提前準(zhǔn)備好一個環(huán)境變量文件然后一次性傳入docker run -d --env-file .env myapp:1.0.0這種方式比直接在命令行寫一串-e要清爽得多而且.env文件可以用 git 管理模板避免密碼暴露在 shell 歷史記錄里。如果只是臨時跑一個容器做測試用完就刪可以用--rmdocker run --rm -it ubuntu:22.04 bash加上--rm后容器退出時會自動刪除。配合-it交互模式加偽終端可以進(jìn)到容器里操作。這個組合太適合調(diào)試了不用考慮清理殘留容器的問題。2.2 進(jìn)入容器與日志不重啟服務(wù)解決問題容器運(yùn)行中你需要進(jìn)入容器內(nèi)查看狀態(tài)或者執(zhí)行命令。這時候用docker execdocker exec -it web bashexec是在運(yùn)行中的容器里再啟動一個新的進(jìn)程-it表示以交互方式進(jìn)入。比如容器里裝的是 alpine 鏡像可能沒有 bash只有 sh那就得換成docker exec -it web sh這里想提醒一個常見誤區(qū)不要在容器里裝很多調(diào)試工具特別是生產(chǎn)環(huán)境里的容器盡量保持最小化。你需要調(diào)試時可以用docker exec在運(yùn)行時安裝臨時工具或者更推薦的方式是用docker cp把宿主機(jī)上的靜態(tài)編譯工具拷進(jìn)容器用用完再丟掉?？慈罩臼嵌ㄎ粏栴}最直接的方式docker logs web默認(rèn)只顯示標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯誤。如果日志太多加--tail只看最近多少行docker logs --tail 100 web如果服務(wù)一直在打印日志你希望實時看加-fdocker logs -f web這個命令會持續(xù)輸出日志直到你按 CtrlC 中斷。注意docker logs只能看到容器內(nèi)進(jìn)程寫到標(biāo)準(zhǔn)輸出和標(biāo)準(zhǔn)錯誤的內(nèi)容。如果應(yīng)用自己寫日志文件比如寫到了/var/log/app.log那docker logs什么也看不到你得exec進(jìn)去看文件或者在啟動容器時把日志文件重定向到標(biāo)準(zhǔn)輸出很多鏡像的官方 Dockerfile 就是這么設(shè)計的。如果你想看容器里跑了哪些進(jìn)程docker top web這個命令相當(dāng)于容器內(nèi)的ps可以快速確認(rèn)進(jìn)程是否存在、PID 是多少。查看容器狀態(tài)和配置信息用docker inspect web同樣是一大段 JSON包含容器的網(wǎng)絡(luò) IP、掛載卷、環(huán)境變量、啟動命令、重啟次數(shù)等。排查問題時優(yōu)先看這里面的State字段它會告訴你容器當(dāng)前處于running、exited、restarting還是paused狀態(tài)還有退出碼和退出時間。2.3 停止、刪除與批量操作清理現(xiàn)場的基礎(chǔ)功停止一個容器docker stop web停止所有容器docker stop $(docker ps -q)docker ps -q只輸出容器的 ID 列表這個組合非常實用。docker ps默認(rèn)只顯示運(yùn)行中的容器如果想看所有容器包括已經(jīng)退出的加-adocker ps -a清理已經(jīng)退出的容器docker container prune這個命令會刪除所有處于exited狀態(tài)的容器。如果你確定某個容器沒用了直接刪docker rm web如果有運(yùn)行中的容器要刪得先停再刪或者用強(qiáng)制刪除docker rm -f web-f會先發(fā) SIGKILL 信號直接殺掉容器進(jìn)程再刪除。能不用就不用因為應(yīng)用可能沒來得及做優(yōu)雅關(guān)閉導(dǎo)致數(shù)據(jù)損壞。如果你用的是--rm啟動的容器停止后容器會被自動清理不需要你再手動rm。批量刪除所有容器包括運(yùn)行中的可以組合docker rm -f $(docker ps -aq)這個命令在你要清空整個環(huán)境做測試時非常管用但生產(chǎn)環(huán)境慎用你確認(rèn)沒有任何有用的容器再執(zhí)行。3. 網(wǎng)絡(luò)與存儲兩個最容易被忽視的模塊容器跑起來只是第一步真正讓它變得好用網(wǎng)絡(luò)和存儲的配置是分不開的。容器之間要通信就得配置網(wǎng)絡(luò)數(shù)據(jù)要持久化就得用存儲卷。很多人命令背得很熟但到網(wǎng)絡(luò)不通、數(shù)據(jù)丟失的時候才意識到這兩個模塊有多重要。3.1 容器網(wǎng)絡(luò)從 bridge 到自定義網(wǎng)絡(luò)Docker 默認(rèn)有三種網(wǎng)絡(luò)模式bridge、host、none。平時我們用docker run啟動容器時默認(rèn)就是bridge網(wǎng)絡(luò)容器會獲得一個虛擬 IP宿主機(jī)可以通過端口映射訪問它。查看當(dāng)前網(wǎng)絡(luò)列表docker network ls查看某個網(wǎng)絡(luò)里有哪些容器docker network inspect bridge這個命令會輸出連接在這個網(wǎng)絡(luò)下的所有容器及其 IP 地址。多容器服務(wù)部署時我強(qiáng)烈建議你創(chuàng)建一個自定義網(wǎng)絡(luò)而不是把所有容器都放在默認(rèn)的bridge里docker network create mynet創(chuàng)建好后在docker run時指定網(wǎng)絡(luò)docker run -d --name app --network mynet myapp:1.0.0 docker run -d --name db --network mynet -e DB_HOSTdb mysql:8.0自定義網(wǎng)絡(luò)里有一個非常重要的特性容器之間可以直接用容器名互相訪問。上面例子中app容器訪問數(shù)據(jù)庫只需要配置DB_HOSTdbDocker 內(nèi)置的 DNS 會自動把db解析成對應(yīng)容器的 IP。這就是容器編排的基礎(chǔ)比你去查 IP 再手動配置可靠得多。排查網(wǎng)絡(luò)問題的時候經(jīng)常用到docker exec app ping db注意有些容器鏡像里沒有ping命令那就用docker exec app getent hosts db如果getent hosts能解析出 IP但網(wǎng)絡(luò)還是不通再看防火墻和網(wǎng)絡(luò)模式。這里有個經(jīng)驗同一臺宿主機(jī)上優(yōu)先用自定義網(wǎng)絡(luò)而不是host網(wǎng)絡(luò)。host模式雖然性能好一些但容器直接用宿主機(jī)網(wǎng)絡(luò)端口沖突和安全隱患都比較麻煩日常開發(fā)場景不推薦。3.2 存儲卷容器刪了數(shù)據(jù)不能丟用-v掛載數(shù)據(jù)卷是持久化的核心方案。Docker 的存儲卷分兩種一種是 Docker 管理的卷另一種是綁定掛載宿主機(jī)目錄。使用 Docker 卷的方式docker volume create data_vol docker run -d --name db -v data_vol:/var/lib/mysql mysql:8.0查看所有卷docker volume ls查看某個卷的掛載位置和占用情況docker volume inspect data_vol綁定掛載宿主機(jī)目錄的方式docker run -d --name web -v /opt/site:/usr/share/nginx/html nginx:1.25這種方式的優(yōu)勢是你可以直接在宿主機(jī)上修改文件容器內(nèi)立刻就能看到非常適合本地開發(fā)。但在生產(chǎn)環(huán)境我更推薦用 Docker 卷因為它的數(shù)據(jù)由 Docker 統(tǒng)一管理遷移、備份更容易權(quán)限問題也更少。清理卷時注意docker volume prune會刪除所有未被容器引用的卷。這個命令要謹(jǐn)慎因為如果容器已經(jīng)刪了但你以為卷里還有數(shù)據(jù)一旦執(zhí)行 prune數(shù)據(jù)就沒了。刪除單個卷用docker volume rm data_vol3.3 備份、恢復(fù)與遷移容器間的數(shù)據(jù)搬運(yùn)數(shù)據(jù)卷的備份是一個經(jīng)常被問到的問題。假設(shè)你有一個容器db掛載了卷data_vol需要把卷里的數(shù)據(jù)打包備份。一個很實用的思路是借助臨時容器來打包docker run --rm -v data_vol:/source -v $(pwd):/backup alpine tar czf /backup/db_backup.tar.gz -C /source .這條命令的含義是啟動一個臨時 alpine 容器把data_vol掛載到/source把當(dāng)前目錄掛載到/backup然后在容器內(nèi)執(zhí)行tar打包/source目錄的內(nèi)容到/backup/db_backup.tar.gz。因為用了--rm容器打包完就自動刪除了宿主機(jī)的當(dāng)前目錄下就會生成備份文件?；謴?fù)數(shù)據(jù)的方向反過來即可docker run --rm -v data_vol:/target -v $(pwd):/backup alpine sh -c tar xzf /backup/db_backup.tar.gz -C /target如果你只是想從一個容器把文件拷到宿主機(jī)或者從宿主機(jī)拷進(jìn)容器用docker cpdocker cp web:/etc/nginx/nginx.conf ./nginx.conf docker cp ./nginx.conf web:/etc/nginx/nginx.confdocker cp不用啟動容器的 shell非常適合快速提取配置和日志。4. Compose 編排命令多容器場景的默認(rèn)答案單容器用docker run還行一旦服務(wù)多起來比如應(yīng)用加數(shù)據(jù)庫加緩存加消息隊列手寫一長串docker run命令既不直觀也不好維護(hù)。Compose 這個工具就是干這個的它用 YAML 文件描述多容器的啟動配置一條命令拉起整個服務(wù)棧。4.1 Compose v2 與舊命令的變化用 Compose 之前你需要寫一個docker-compose.yml文件。以前大家用的命令是docker-compose up注意有連字符?，F(xiàn)在新版 Docker 把 Compose 集成進(jìn)了 Docker CLI直接用docker compose中間是空格。如果你用的是新版 Docker建議直接用docker compose命令更統(tǒng)一也避免和舊版工具混淆。集成后的docker compose和舊版docker-compose大部分子命令是兼容的。如果你是照著老教程操作發(fā)現(xiàn)docker-compose命令提示不存在不用驚慌換成docker compose即可。4.2 常用命令序列一條命令拉起整個服務(wù)棧最核心的就是docker compose up -d-d表示后臺運(yùn)行加上它之后Compose 會根據(jù) YAML 文件里定義的服務(wù)依次創(chuàng)建和啟動容器。首次執(zhí)行會先拉取鏡像再啟動之后執(zhí)行時如果配置沒變化容器會被復(fù)用只會重建有改動的服務(wù)。查看當(dāng)前 Compose 項目下所有服務(wù)的狀態(tài)docker compose ps查看日志docker compose logs -f如果只想看某個服務(wù)的日志docker compose logs -f web停止服務(wù)但保留容器和網(wǎng)絡(luò)docker compose stop停止并刪除所有容器、網(wǎng)絡(luò)docker compose down注意down默認(rèn)不會刪除存儲卷。如果你想把卷也刪了加-vdocker compose down -v這個操作會連數(shù)據(jù)一起清掉正式環(huán)境要三思。進(jìn)入了 Compose 項目目錄后服務(wù)之間直接用服務(wù)名互通。比如 YAML 里定義了一個db服務(wù)那web服務(wù)里配置連接地址時直接寫db:3306Compose 會自動創(chuàng)建網(wǎng)絡(luò)并完成 DNS 解析這一點和之前講的自定義網(wǎng)絡(luò)是同一個原理。想進(jìn)入某個服務(wù)的容器里調(diào)試docker compose exec web sh這個命令和單容器的docker exec一樣只是通過服務(wù)名找到對應(yīng)的容器。4.3 多環(huán)境配置與變量管理不同環(huán)境開發(fā)、測試、生產(chǎn)需要不同的配置Compose 支持用環(huán)境變量插值。在 YAML 文件里可以這樣寫services: app: image: myapp:${TAG:-latest}${TAG:-latest}表示讀取當(dāng)前 shell 環(huán)境變量里的TAG如果沒有設(shè)置就用默認(rèn)值latest。更方便的做法是用.env文件。Compose 會自動讀取項目根目錄下的.env文件里的變量你可以在里面配置TAG1.2.0 DB_PASSWORDsecret然后在 YAML 里引用services: app: image: myapp:${TAG} db: environment: MYSQL_ROOT_PASSWORD: ${DB_PASSWORD}這種做法最大的好處是配置和代碼可以分離提交到版本庫的時候把.env加入.gitignore避免密碼泄露。5. 故障排查與實用組合技前面講的都是標(biāo)準(zhǔn)操作但實際工作里你總會遇到一些莫名其妙的問題。容器起不來、網(wǎng)絡(luò)不通、磁盤漲滿、日志刷屏這些問題單獨看都不難難的是快速定位到正確方向。這里我整理了幾個高頻問題的排查思路和幾個能大幅提升效率的命令組合。5.1 容器卡在退出狀態(tài)先看退出碼和完整日志容器啟動后馬上退出這是遇到最多的一個問題。第一步永遠(yuǎn)是用docker ps -a看容器的狀態(tài)和退出碼第二步用docker logs看日志。退出碼是一個很重要的線索。比如退出碼為 1通常是應(yīng)用本身的錯誤比如配置參數(shù)不對、端口被占用、數(shù)據(jù)庫連不上。退出碼為 127通常是命令找不到比如鏡像里沒有你指定的啟動命令。退出碼為 137說明容器被強(qiáng)制殺掉了通常是內(nèi)存超限被 OOM Killer 殺掉或者是執(zhí)行了docker kill。如果docker logs輸出很少或者什么也沒有可以用docker inspect看State.ExitCode和Error字段有時候 Docker 會直接告訴你啟動失敗的原因。再不行就手動在前臺跑一次去掉-d參數(shù)docker run --rm myapp:1.0.0前臺模式啟動時應(yīng)用日志會直接打到終端上很多問題一眼就能看出來。這個方法聽著簡單但在定位問題時比反復(fù)看logs要快得多。5.2 清理僵尸容器與懸空鏡像磁盤爆滿的應(yīng)急方案服務(wù)器磁盤滿了很多服務(wù)會異常這時候要快速找到誰在占用空間。先看全局概況docker system df然后按占用大小排序找到最大的容器日志文件。容器日志文件默認(rèn)被 Docker 寫在宿主機(jī)的/var/lib/docker/containers/容器ID/目錄下用du可以快速定位du -sh /var/lib/docker/containers/* | sort -rh | head -20找到特別大的日志文件后會看到形如*-json.log的文件。這個日志文件如果不加限制會一直增長解決方案有兩個。臨時處理是清空文件內(nèi)容truncate -s 0 /var/lib/docker/containers/容器ID/*-json.log永久方案是在 Docker 配置里限制日志大小比如在/etc/docker/daemon.json里加{ log-driver: json-file, log-opts: { max-size: 10m, max-file: 3 } }然后重啟 Docker 生效。這個配置建議在搭建環(huán)境的時候就加上不然等到磁盤報警再來處理節(jié)點上的服務(wù)可能已經(jīng)因為磁盤寫滿而掛掉了。清理完日志之后批量清理無用資源可以用docker system prune -a --volumes這條命令會嘗試刪除所有未被使用的鏡像、容器、網(wǎng)絡(luò)、構(gòu)建緩存和卷。它非常激進(jìn)我建議平時只用docker system prune不帶--volumes的版本卷要單獨確認(rèn)后再清理。5.3 資源占用分析容器為什么越來越慢容器運(yùn)行變慢最直接的原因就是資源配額或者宿主機(jī)資源不夠。查看容器資源占用docker statsdocker stats會實時顯示所有容器的 CPU、內(nèi)存、網(wǎng)絡(luò) I/O、磁盤 I/O。如果某一個容器內(nèi)存一路飆升你可以用--memory參數(shù)給它限制內(nèi)存上限docker run -d --memory 512m --memory-swap 512m myapp:1.0.0--memory-swap設(shè)置為和--memory一樣表示禁止使用 swap避免內(nèi)存超限后性能驟降。寫服務(wù)的同學(xué)一定深有體會沒有限制的應(yīng)用在內(nèi)存泄漏時能直接把整臺機(jī)器拖垮加個配額能保護(hù)旁邊的容器。查看容器內(nèi)進(jìn)程的 CPU 占用更加精細(xì)一些docker top web再配合宿主機(jī)的ps或者top來判斷是不是有其它進(jìn)程干擾。如果是宿主機(jī)上其它非 Docker 進(jìn)程占用了大量 CPU那問題就出在 Docker 外部不要在容器里反復(fù)找原因。5.4 高頻命令組合與快捷操作下面這幾個組合命令我寫進(jìn)了 shell 的 alias幾乎每天都會用到。一鍵進(jìn)入容器。如果容器用docker compose管理就dc exec web bash其中dc是docker compose的簡寫。在命令行里可以這樣設(shè)置alias dcdocker compose一鍵查看所有容器的 IPdocker ps -q | xargs -I {} docker inspect -f {{.Name}} {{.NetworkSettings.IPAddress}} {}一鍵清理退出容器和懸空鏡像docker container prune -f docker image prune -f一鍵停止再刪除 Compose 管理的所有容器docker compose down這幾個組合背后的思路其實就一個單個命令能做的事組合起來一次性完成減少人肉重復(fù)操作也能避免漏清理。排查問題的時候減少手動步驟就是在降低出錯概率。我自己的感受是Docker 命令不需要背全部但常用的核心命令一定要形成肌肉記憶。尤其是run、exec、logs、inspect、compose up這幾個幾乎每天都要用用熟了之后排查問題的速度會快很多。另外新版本 Docker 的命令一直在迭代比如docker image prune、docker builder prune這類子命令就是近幾年的新東西如果你還在用很老的命令版本遇到一些提示不存在的情況先確認(rèn)一下 Docker 版本很多問題其實是版本差異導(dǎo)致的。