Docker测试学习思路

Docker 核心概念学习与实战指南本文系统梳理 Docker 学习的核心思路与方法用通俗类比帮助理解 Docker 的本质涵盖镜像构建、容器运行、网络通信、数据持久化、资源限制五大核心能力适合初学者建立清晰的 Docker 知识框架。一、Docker 到底是什么1.1 先用一个生活类比理解可以把 Docker 理解成标准化外卖打包盒。平时我们把一道菜打包带走真正要带走的不只是菜本身还包括用什么盒子装要不要保温有没有汤汁分层到别人手里后能不能直接吃软件也是一样。一个应用想正常运行往往不只是代码还依赖操作系统环境运行时版本Python、Java、Node.js第三方依赖包配置文件网络端口数据目录Docker 的作用就是把这些运行条件打包成一个标准化交付单元。1.2 为什么大家都在学 DockerDocker 解决的是一个特别经典的问题“在我电脑上明明是好的为什么到你那就不行”Docker 的核心价值环境一致开发、测试、生产尽量跑同一套环境快速交付应用可以被快速打包、分发、启动隔离性强不同应用互不污染便于迁移同一个镜像到不同机器都能跑便于扩缩容容器天然适合批量部署1.3 学 Docker 的正确目标很多人学 Docker只停留在会敲几个命令docker rundocker psdocker logs真正掌握 Docker至少要能回答下面几个问题镜像是怎么做出来的容器和镜像到底是什么关系容器里的服务怎么和外界通信容器删了数据为什么有时还在有时又没了为什么加了内存限制以后应用就崩了如果这些问题都能讲清楚说明不只是会用而是理解了。二、先建立 Docker 的整体脑图2.1 五大核心学习模块┌─────────────────┐ │ Docker 核心 │ └────────┬────────┘ │ ┌────────────┬───────┼───────┬────────────┐ │ │ │ │ │ ▼ ▼ ▼ ▼ ▼ ┌────────┐ ┌────────┐ ┌──────┐ ┌────────┐ ┌──────────┐ │ 镜像 │ │ 容器 │ │ 网络 │ │ 数据 │ │ 资源 │ │ 构建 │ │ 运行 │ │ 通信 │ │ 持久化 │ │ 限制 │ └────────┘ └────────┘ └──────┘ └────────┘ └──────────┘ │ │ │ │ │ │ │ │ │ └── CPU/内存限制 │ │ │ └───────────── volume/bind mount │ │ └────────────────────── bridge/host/none │ └───────────────────────────────── build/run/exec/logs └────────────────────────────────────────────── Dockerfile 最佳实践2.2 最重要的三个概念概念通俗理解说明Image镜像菜谱 原料包一个静态模板定义应用运行所需的一切Container容器按菜谱做出来的一份成品镜像启动后的运行实例Dockerfile做菜步骤说明书告诉 Docker 镜像该怎么构建记忆要点Dockerfile说明怎么做Image做好的模板Container真正跑起来的实例2.3 一个非常关键的关系Dockerfile -- docker build -- Image -- docker run -- Container这条链路非常重要后续所有学习都围绕它展开。三、Dockerfile 编写最佳实践这一部分是 Docker 学习里最容易会抄不会懂的地方。3.1 Dockerfile 本质上在解决什么问题Dockerfile 本质上是在回答一个问题“如果我想让另一台机器完全复现这个应用环境我应该按什么步骤来装”比如一个 Python 项目通常需要选一个基础镜像拷贝代码安装依赖暴露端口启动应用Dockerfile 是 Docker 镜像的构建蓝图和自动化脚本它用文本指令定义了如何从零开始组装出一个完整的、可运行的软件环境。3.2 为什么要学最佳实践Dockerfile 不只是能用就行。写得差会带来这些问题镜像特别大构建特别慢敏感文件被打进镜像容器里带一堆根本不需要的东西每次修改代码都要重新安装全部依赖所以学习 Dockerfile重点不是语法而是为什么这么写更合理。3.3 多阶段构建3.3.1 先理解问题很多应用在构建阶段和运行阶段需要的东西并不一样。例如Java 项目构建时需要 MavenGo 项目构建时需要 Go 编译器Node 项目构建前端时需要 npm/yarn但真正运行时往往只需要编译后的二进制文件打包后的静态资源应用本身所需的运行时环境如果把构建工具也一起塞进最终镜像就会导致镜像很臃肿。3.3.2 什么是多阶段构建多阶段构建就是第一阶段负责干活编译、打包第二阶段只负责运行结果就像前厨负责做菜服务员只端成品上桌不会把炒锅、案板、菜刀一起端给顾客3.3.3 具体怎么做单阶段构建示例臃肿FROM node:18 WORKDIR /app COPY . . RUN npm install RUN npm run build EXPOSE 3000 CMD [node, dist/index.js]问题最终镜像包含完整的 Node.js 构建工具node_modules中既有生产依赖也有开发依赖镜像体积可能高达 1GB多阶段构建示例精简# 第一阶段构建阶段 FROM node:18 AS builder WORKDIR /app COPY package*.json ./ RUN npm ci --onlyproduction COPY . . RUN npm run build # 第二阶段运行阶段 FROM node:18-alpine WORKDIR /app COPY --frombuilder /app/dist ./dist COPY --frombuilder /app/node_modules ./node_modules EXPOSE 3000 CMD [node, dist/index.js]优势最终镜像使用 Alpine 基础镜像约 150MB只包含运行必需的依赖不包含构建工具和源码3.3.4 如何验证效果# 构建单阶段镜像dockerbuild-tmyapp:single-stage.# 构建多阶段镜像dockerbuild-tmyapp:multi-stage.# 对比大小dockerimages|grepmyapp预期结果多阶段镜像体积通常能减少 60%-80%容器启动功能不受影响3.4 减少镜像层3.4.1 什么是镜像层可以把镜像想成千层饼。Dockerfile 里很多指令都会产生一层新的文件系统变化。比如一次RUN一次COPY一次ADD都可能形成新的层。3.4.2 层太多有什么问题层数多不一定马上出错但会带来镜像结构复杂构建和传输效率下降中间垃圾文件更容易残留后期排查困难3.4.3 具体怎么做不好的写法层数多FROM ubuntu:22.04 RUN apt-get update RUN apt-get install -y curl RUN apt-get install -y wget RUN apt-get install -y git RUN rm -rf /var/lib/apt/lists/*好的写法合并层FROM ubuntu:22.04 RUN apt-get update \ apt-get install -y curl wget git \ rm -rf /var/lib/apt/lists/*关键点用把相关命令合并到一个RUN中清理缓存和安装放在同一层避免缓存文件残留3.4.4 如何验证# 查看镜像层dockerhistorymyapp:v1# 查看层数详情dockerinspect myapp:v1|grep-A5Layers3.5 .dockerignore3.5.1 它解决什么问题Docker 构建镜像时会把当前目录当作构建上下文发给 Docker 引擎。如果项目目录里有这些内容.gitnode_modulesdist日志文件本地缓存.env而没有写.dockerignore这些文件都会被送进构建上下文。3.5.2 后果是什么后果通常有三个构建变慢镜像变大敏感信息泄露3.5.3 具体怎么做.dockerignore是 Docker 镜像构建的“垃圾过滤器”它确保只有必要的文件进入镜像让构建更快、镜像更小、更安全在项目根目录创建.dockerignore文件# 版本控制 .git .gitignore .svn # 依赖目录 node_modules __pycache__ vendor # 构建产物 dist build *.egg-info # 日志和缓存 *.log .cache # 敏感文件 .env .env.local *.pem *.key credentials.json # IDE 配置 .idea .vscode *.swp3.5.4 如何验证效果# 查看构建上下文大小有无.dockerignore 对比# 构建时观察 BUILD CONTEXT 输出# 方法 1构建时看上下文大小dockerbuild-ttest:v1.21|head-20# 方法 2查看镜像中是否包含不该有的文件dockerrun--rmtest:v1ls-la/app四、核心命令详解4.1 六个最核心命令总览命令它解决的问题典型使用场景docker build怎么把代码做成镜像从 Dockerfile 生成镜像docker run怎么把镜像跑起来从镜像启动容器docker exec怎么进入已经在跑的容器到容器内部排查问题docker logs怎么看应用输出看容器标准输出和错误输出docker inspect怎么看容器详细配置看底层元数据docker stats怎么看容器资源占用看 CPU、内存、网络 IO4.2 docker build理解构建过程基本用法dockerbuild-tmyapp:v1.参数说明-t myapp:v1给镜像打标签tag.当前目录作为构建上下文进阶用法# 指定 Dockerfile 文件名dockerbuild-fDockerfile.prod-tmyapp:prod.# 传递构建参数dockerbuild --build-argNODE_ENVproduction-tmyapp:v1.# 不使用缓存强制重新构建dockerbuild --no-cache-tmyapp:v1.# 构建时显示详细信息dockerbuild--progressplain-tmyapp:v1.学习重点观察以下内容哪一步最慢哪一步用了缓存修改哪个文件后会导致哪些层重新构建缓存命中规律修改内容影响范围修改 Dockerfile 某一行该行及之后所有层失效修改 COPY 的文件COPY 层及之后所有层失效修改环境变量该层及之后所有层失效4.3 docker run理解镜像变容器基本用法dockerrun-d--namemyapp-p8080:8080 myapp:v1参数说明-d后台运行detached mode--name myapp给容器起名字-p 8080:8080宿主机 8080 端口映射到容器 8080 端口常用参数组合# 完整的生产环境启动示例dockerrun-d\--namemyapp\--restartunless-stopped\-p8080:8080\-vapp-data:/app/data\-v/host/logs:/app/logs\-eNODE_ENVproduction\--cpus2\--memory512m\myapp:v1参数详解--restart unless-stopped容器退出后自动重启除非手动停止-v app-data:/app/data挂载 volume-v /host/logs:/app/logsbind mount 宿主机目录-e NODE_ENVproduction设置环境变量--cpus2限制 CPU 使用--memory512m限制内存使用端口映射说明# 格式-p 宿主机端口容器端口-p8080:80# 宿主机 8080 → 容器 80-p127.0.0.1:8080:80# 只监听 localhost-p8080-8090:80-90# 批量映射端口范围4.4 docker exec进入容器内部基本用法# 交互式进入容器 shelldockerexec-itmyappsh# 如果容器有 bashdockerexec-itmyappbash参数说明-i保持 STDIN 打开即使没有附加-t分配一个伪终端常用场景# 查看容器内进程dockerexecmyapppsaux# 查看容器内磁盘使用dockerexecmyappdf-h# 进入容器工作目录dockerexec-it-w/app/data myappsh# 以指定用户执行dockerexec-uroot myappwhoami# 执行单条命令并返回结果dockerexecmyappcat/app/config.json4.5 docker logs查看容器日志基本用法# 查看全部日志dockerlogs myapp# 查看最近 100 行dockerlogs--tail100myapp# 实时跟踪日志类似 tail -fdockerlogs-fmyapp# 带时间戳查看dockerlogs-f--timestampsmyapp# 查看某个时间之后的日志dockerlogs--since2024-01-15T10:00:00 myapp# 查看最近 10 分钟的日志dockerlogs--since10m myapp日志排查技巧# 搜索错误日志dockerlogs myapp21|grep-ierror# 统计日志行数dockerlogs myapp|wc-l# 保存日志到文件dockerlogs myappapp.log214.6 docker inspect查看容器详情基本用法# 查看容器全部信息JSON 格式dockerinspect myapp# 查看容器 IP 地址dockerinspect-f{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}myapp# 查看容器状态dockerinspect-f{{.State.Status}}myapp# 查看容器错误信息dockerinspect-f{{.State.Error}}myapp# 查看挂载信息dockerinspect-f{{json .Mounts}}myapp重点关注字段字段路径说明.State.Status容器运行状态running/exited.State.ExitCode退出码0 表示正常.NetworkSettings.IPAddress容器 IP.Mounts挂载信息.Config.Env环境变量.HostConfig.Memory内存限制.HostConfig.NanoCpusCPU 限制4.7 docker stats查看资源使用基本用法# 查看单个容器dockerstats myapp# 查看所有容器dockerstats# 查看指定多个容器dockerstats container1 container2# 只显示一次不持续刷新dockerstats --no-stream输出字段说明字段说明CONTAINER容器名/IDCPU %CPU 使用率MEM USAGE / LIMIT内存使用量 / 限制MEM %内存使用率NET I/O网络输入/输出BLOCK I/O磁盘输入/输出PIDs进程数五、网络模式详解Docker 网络是很多初学者最容易懵的部分。网络模式本质上是在决定容器怎么和外界说话。5.1 三种常见网络模式对比模式通俗理解特点适用场景bridge给容器分一个独立房间默认模式容器有自己的网络空间常规微服务部署host直接住进宿主机客厅容器直接使用宿主机网络对网络性能要求高none关进一个没网的房间容器几乎没有网络能力安全隔离、离线处理5.2 bridge 模式默认怎么理解bridge 模式下容器有自己的 IP容器和宿主机不是同一个网络身份想从外面访问容器通常需要端口映射具体怎么做# 启动 bridge 模式容器dockerrun-d--nameweb1--networkbridge-p8080:80 nginx# 查看容器 IPdockerinspect-f{{range .NetworkSettings.Networks}}{{.IPAddress}}{{end}}web1# 从宿主机访问curlhttp://localhost:8080# 从另一个容器访问dockerrun--rm--networkbridge alpinewget-qO- http://web1:80端口映射原理宿主机端口 8080 -- Docker 网桥 -- 容器端口 80 ↑ ↑ 外部访问 应用监听联通性验证步骤启动容器从宿主机 curl 访问映射端口查看容器 IP用另一个容器 ping/curl 访问该容器# 步骤 1启动容器dockerrun-d--nametest-web-p8080:80 nginx# 步骤 2宿主机访问curlhttp://localhost:8080# 步骤 3查看 IPdockerinspect test-web|grepIPAddress# 步骤 4容器间访问dockerrun--rmalpinewget-qO- http://test-web:805.3 host 模式怎么理解host 模式下容器直接使用宿主机网络。这意味着容器没有独立 IP容器服务直接占用宿主机端口网络路径更短但隔离性更差具体怎么做# 启动 host 模式容器dockerrun-d--nameweb-host--networkhostnginx# 注意host 模式下-p 参数无效# 容器内应用直接监听宿主机端口curlhttp://localhost:80注意事项host 模式下-p端口映射参数失效容易发生端口冲突容器内不能绑定已被宿主机占用的端口验证端口冲突# 先在宿主机启动一个服务占用 80 端口# 然后尝试启动 host 模式的容器dockerrun-d--nameweb-conflict--networkhostnginx# 预期容器启动失败或服务无法绑定端口5.4 none 模式怎么理解none 模式下容器几乎没有网络只有 lo 回环接口。适合本地离线处理任务特殊安全场景明确不希望访问外网或被外界访问具体怎么做# 启动 none 模式容器dockerrun-d--nameoffline-task--networknone alpinesleep3600# 进入容器测试网络dockerexecoffline-taskping-c38.8.8.8# 预期无法访问外网dockerexecoffline-taskcat/etc/resolv.conf# 预期无 DNS 配置5.5 网络模式联通性对比测试项bridgehostnone宿主机访问容器通过端口映射直接访问宿主机端口不可访问容器访问外网一般可以可以不可行容器间通信同网络下通常可行依赖宿主机网络不可行隔离性中低高建议学习时自己分别启动三种模式的容器对比能否访问外网宿主机能否访问它容器之间能否互访六、数据持久化详解6.1 为什么数据会丢容器有一个很重要的特性适合快速创建也适合快速删除。如果数据直接写在容器内部容器删掉后这些数据往往也就一起没了。学习数据持久化本质是在学如何让数据独立于容器存在。6.2 volume 和 bind mount 的区别方式通俗理解特点适用场景volume租一个 Docker 管理的仓库Docker 统一管理适合长期数据数据库、长期持久化数据bind mount直接借用宿主机现有目录灵活直观适合开发调试配置注入、开发热更新6.3 volume 详解什么是 volumevolume 的特点是数据不跟着容器走容器只是使用这个存储空间容器删了volume 还在具体怎么做# 方式 1先创建 volume再挂载dockervolume create app-datadockerrun-d--nameapp1-vapp-data:/data nginx# 方式 2运行时自动创建 volumedockerrun-d--nameapp2-vapp-data:/data nginx# 如果 app-data 不存在Docker 会自动创建# 查看 volume 详情dockervolume inspect app-data# 查看所有 volumedockervolumels# 删除 volume必须先停止使用它的容器dockervolumermapp-datavolume 数据存储位置Linux/var/lib/docker/volumes/volume_name/_dataWindows Docker DesktopLinux VM 中的相同路径macOS Docker DesktopLinux VM 中的相同路径验证数据持久化# 步骤 1创建 volume 并启动容器dockervolume create test-datadockerrun-d--nameapp1-vtest-data:/data nginx# 步骤 2向 volume 写入文件dockerexecapp1sh-cecho test content /data/test.txt# 步骤 3删除容器dockerrm-fapp1# 步骤 4用新容器挂载同一个 volumedockerrun-d--nameapp2-vtest-data:/data nginx# 步骤 5验证文件还在dockerexecapp2cat/data/test.txt# 预期输出test content6.4 bind mount 详解什么是 bind mountbind mount 就是把宿主机某个目录直接映射到容器里。具体怎么做# 绝对路径挂载dockerrun-d--nameapp-v/host/config:/app/config nginx# 相对路径挂载相对于当前工作目录dockerrun-d--nameapp-v./config:/app/config nginx# 只读挂载容器内无法修改dockerrun-d--nameapp-v/host/config:/app/config:ro nginx适合场景本地开发时热更新代码挂载配置文件挂载日志目录需要直接查看宿主机文件验证文件同步# 步骤 1在宿主机创建配置文件mkdir-p/tmp/myconfigechoserver { listen 80; }/tmp/myconfig/nginx.conf# 步骤 2启动容器并挂载dockerrun-d--nameweb-v/tmp/myconfig:/etc/nginx/conf.d nginx# 步骤 3在宿主机修改文件echoserver { listen 8080; }/tmp/myconfig/nginx.conf# 步骤 4容器内验证同步变化dockerexecwebcat/etc/nginx/conf.d/nginx.conf# 预期内容与宿主机一致6.5 数据持久化学习验证清单学习时重点验证 3 件事删容器后数据是否还在用 volume 测试删容器后重建数据应保留不用持久化测试删容器后数据应丢失宿主机改文件后容器里是否同步变化bind mount 场景下验证权限是否导致读写失败容器用户与宿主机目录权限是否匹配七、资源限制详解资源限制是把 Docker 从会启动拉到更接近生产使用的关键一步。7.1 为什么需要资源限制如果一个容器不加限制它理论上可能尽量多地占用宿主机资源。这会带来问题一个容器 CPU 飙高影响别的服务一个容器内存暴涨把机器拖死某个异常进程把整个宿主机搞卡Docker 提供资源限制能力本质上是在做资源隔离。7.2 CPU 限制具体怎么做# 限制使用 0.5 个 CPU 核心dockerrun-d--namecpu-test--cpus0.5myapp:v1# 限制使用 2 个 CPU 核心dockerrun-d--namecpu-test--cpus2myapp:v1# 使用 CPU 份额相对权重dockerrun-d--namecpu-test --cpu-shares512myapp:v1参数说明参数说明--cpus0.5最多使用 0.5 个 CPU 核心--cpus2最多使用 2 个 CPU 核心--cpu-shares512CPU 权重默认 1024--cpuset-cpus0,1指定使用哪些 CPU 核心如何验证# 启动限制 CPU 的容器dockerrun-d--namecpu-limited--cpus0.5stress:latest stress--cpu2# 观察资源使用dockerstats cpu-limited# 查看 CPU 限制详情dockerinspect cpu-limited|grep-icpu预期现象CPU 使用率被限制在设定值附近应用吞吐量可能下降响应时间可能变长但服务仍可用7.3 内存限制具体怎么做# 限制内存为 256MBdockerrun-d--namemem-test--memory256mmyapp:v1# 限制内存为 1GB并允许使用 512MB swapdockerrun-d--namemem-test--memory1g--memory-swap1.5gmyapp:v1# 内存达到限制时触发 OOM 杀死dockerrun-d--namemem-test--memory128mmemory-hog-app参数说明参数说明--memory256m最大内存限制--memory-swap1g内存 swap 总限制--memory-reservation128m软限制系统回收时优先--oom-kill-disable禁止 OOM 杀死需谨慎如何验证# 启动内存受限容器dockerrun-d--namemem-limited--memory128mmyapp:v1# 观察内存使用dockerstats mem-limited# 查看是否触发 OOMdockerinspect mem-limited|grep-A10OOMKilled# 查看容器退出原因dockerinspect mem-limited|grepExitCode预期现象内存使用达到限制后可能被系统杀死容器状态变为Exited退出码通常为 137OOMKilled字段为true日志中可能有 Out Of Memory 相关报错7.4 综合资源限制示例# 生产环境典型配置dockerrun-d\--namemyapp\--restartunless-stopped\-p8080:8080\--cpus2\--memory512m\--memory-swap512m\--pids-limit100\myapp:v1参数说明--cpus2最多 2 个 CPU 核心--memory512m最多 512MB 内存--memory-swap512m不允许使用 swap--pids-limit100最多 100 个进程八、推荐学习路径第一阶段先搞懂基本关系目标知道 Dockerfile、Image、Container 三者关系能自己构建并启动一个简单应用建议练习写一个最简单的 Dockerfile执行docker build执行docker run执行docker logs查看输出第二阶段学会排查问题目标学会看日志学会进容器检查学会看容器配置建议练习故意写错 Dockerfile 导致构建失败看错误信息故意让容器启动失败用docker logs排查用docker exec进入容器检查用docker inspect查看容器详细配置第三阶段学网络和持久化目标知道不同网络模式有何区别知道为什么删除容器后数据可能丢失学会 volume 和 bind mount建议练习分别运行 bridge / host / none 三种模式测试每种模式的联通性用 volume 启动容器写入数据后删除容器再重建用 bind mount 挂载配置文件修改宿主机文件后验证容器内同步第四阶段学资源限制目标真正看到限制资源后应用会怎样建立生产环境思维建议练习限制 CPU 并观察应用性能变化限制内存并观察是否触发 OOM用docker stats持续观察资源使用对比不同限制下的应用行为九、如何判断自己是不是学会了 Docker如果已经能独立回答下面这些问题说明学得比较扎实了Dockerfile、Image、Container 分别是什么为什么推荐多阶段构建为什么要减少镜像层为什么.dockerignore很重要docker build和docker run的关系是什么docker exec、docker logs、docker inspect分别适合干什么bridge、host、none 三种网络模式区别是什么volume 和 bind mount 的区别是什么为什么容器删了数据可能没了给容器加 CPU/内存限制后应用可能出现什么变化如果这些问题能不用死记硬背、而是用自己的话讲出来那就说明已经从命令使用者进阶成Docker 理解者了。十、学习总结10.1 学 Docker不要只盯着命令Docker 真正难的地方不在命令而在理解背后的机制镜像怎么构建容器怎么运行网络怎么连通数据怎么保存资源怎么限制10.2 这几个点最值得反复练学习主题真正要学会的不是真正要学会的是Dockerfile语法拼写为什么要这样设计构建过程build/run命令格式镜像和容器的关系网络模式名词区别通信路径和隔离边界数据持久化挂载命令数据为什么会保留或丢失资源限制参数写法应用在受限环境下的真实表现10.3 总结Docker 的学习本质上是在学如何把一个应用稳定、清晰、可控地装进容器里并理解它在真实运行中的行为。