Docker常用命令实战指南：镜像、容器、数据卷与网络全解析

说实话我刚接触 Docker 的时候面对满屏的命令也有点懵。docker ps、docker run、docker exec、docker build这些高频词看着都能猜个大概真正上手却经常把容器和镜像搞混误删数据卷日志也不会查。后来在 Linux、Windows 两台机器上反复折腾把 Docker 常用命令真正用顺之后才发现命令本身不难难的是把“镜像、容器、数据卷、网络”这几个概念先理顺。这篇内容就是围绕 Docker 最常用的一套命令讲清楚每条命令在什么场景下用、为什么这么用以及我会踩到哪些坑。无论你是刚装好 Docker Desktop 准备跑第一个容器还是工作中需要用 Docker 部署 MySQL、Redis、GitLab 这类中间件都可以直接照着操作。文中的命令默认在 Linux 终端或 Docker Desktop 自带的终端里执行Windows 用户注意 PowerShell 和 CMD 的细微差别即可。1. 核心概念先过一遍镜像、容器、数据卷、网络、仓库别混淆Docker 命令看起来多其实都是在围绕几个固定对象做增删改查。你不需要背命令而是要先在脑子里建立一张“地图”镜像是什么、容器是什么、数据卷是什么、网络和仓库又负责什么。地图清晰了命令自然就串起来了。1.1 镜像和容器一个是模板一个是运行实例镜像Image可以理解为一个只读的“安装包”或者“模板”里面预装了操作系统基础环境、依赖库、应用代码和启动命令。容器Container是镜像运行后产生的进程实例容器之间互相隔离但共享宿主机的内核。用生活化的类比说镜像好比做蛋糕的模具容器就是用模具烤出来的一个个蛋糕。同一个模具可以烤出很多形状一样的蛋糕每个蛋糕可以撒不同的奶油也可以随时丢掉重做。对应到 Docker 里同一个mysql:8.0镜像可以启动多个 MySQL 容器容器可以被删除镜像还在下次还能继续用。这个区别直接决定了命令的使用docker images查看的是镜像列表。docker ps查看的是正在运行的容器列表。docker ps -a查看所有容器包括已经停止的。我见过很多新手执行docker rm想删镜像结果提示报错就是因为对象搞混了。删除镜像用docker rmi删除容器用docker rm这两个命令千万别混。1.2 数据卷容器删了数据不能丢容器是临时的默认情况下容器内部写入的文件在容器删除后会跟着消失。这在跑数据库、存配置文件的场景下是致命的。解决办法就是数据卷Volume和绑定挂载Bind Mount它们让数据保存在宿主机上与容器解耦。我用一个简单命令记忆docker run -v 宿主机目录:容器内目录。冒号左边是宿主机路径右边是容器内路径两边打通之后容器里写文件等于直接写宿主机。还有一条--volumes-from命令可以把一个容器的数据卷挂载给另一个容器实现多容器共享数据。这在迁移数据、备份数据库时特别有用后面我会专门说。1.3 网络容器之间靠名字通信Docker 默认的网络模式是 bridge 桥接网络容器通过虚拟网卡分配 IP 地址。但 IP 地址每次创建容器都可能变化真实项目里一般不会傻傻地用 IP 通信而是通过自定义网络让容器直接用容器名互相访问。比如你创建了一个网络app-net然后启动两个容器分别叫web和db在web容器里直接ping db或者用db:3306这样访问数据库即可。这个“容器名即主机名”的机制是 Docker 内置 DNS 提供的前提是这两个容器必须挂在同一个自定义网络下。我建议所有多容器项目都使用自定义网络而不是把几百个容器都塞进默认的 bridge 网络。这样既方便服务发现也更容易控制容器间隔离关系。1.4 仓库镜像从哪来、推到哪去镜像仓库Registry是存放和分发镜像的地方。Docker Hub 是官方公共仓库公司内部一般用 Harbor、GitLab Registry 这类私有仓库。日常高频命令就两个docker pull从仓库拉取镜像到本地。docker push把本地镜像推送到仓库。这里有个实操细节从私有仓库拉取镜像一般需要先docker login登录否则会报unauthorized或no basic auth credentials。公司内网如果配置了私有仓库地址不要用默认docker pull而应该写完整的仓库地址类似docker pull registry.example.com:5000/myapp:v1.0。1.5 命令结构规律对象 动作 参数Docker 命令整体可以分成两大类管理类命令和信息类命令。管理类docker run、docker start、docker stop、docker rm、docker build。信息类docker ps、docker images、docker logs、docker inspect、docker stats。所有命令都遵循docker [对象] [动作] [参数]的规律比如docker container ps、docker image ls是完整写法docker ps、docker images是简写。实操中简写更常用但理解完整写法能帮你更快记住命令层次。提示Docker 旧版命令docker ps实际上来自 Linuxps的命名习惯代表查看进程而不是“拍照”。含义弄懂之后遇到docker container ls你也不会觉得陌生。2. 镜像操作实操从 pull 到 build 再到清理的完整链路镜像是所有容器的基础。镜像操作说来说去就三件事获取镜像、构建镜像、清理镜像。但这里面的细节特别多稍不注意就会把磁盘撑爆。2.1 拉取镜像docker pull的参数与正确姿势拉取镜像是最基础的操作。默认从 Docker Hub 拉取最新版本docker pull nginx指定版本号docker pull nginx:1.25-alpine docker pull mysql:8.0 docker pull redis:7.2-alpine这里重点说版本标签。:latest虽然方便但不推荐在生产环境用因为latest标签会跟随仓库更新而变化部署时容易发生“昨天还能启动今天就不行了”的情况。tag 的选取原则是能指定主版本就不只写 latest能具体到小版本就尽量具体。如果是从公司私有仓库拉取写全路径docker pull gitlab.example.com:5050/backend/order-service:v2.1.0拉取时需要登录的话先执行docker login gitlab.example.com:5050输入用户名和访问令牌而不是直接输入登录密码。这个细节很容易踩坑GitLab 个人访问令牌Personal Access Token的权限范围至少要勾选read_registry。2.2 查看镜像docker images与docker inspect查看本地镜像列表docker images更推荐习惯docker image ls因为输出格式更规范。如果想看中间层镜像构建过程中产生的缓存层加上-adocker image ls -a查看某个镜像的详细配置信息docker inspect mysql:8.0这个命令输出是 JSON 格式内容很长。实际排查问题我一般只取几个重要字段docker inspect mysql:8.0 --format {{.Os}} {{.Architecture}} {{.Config.ExposedPorts}}--format是 Docker 命令里很强大的参数能用 Go 模板语法按需提取信息。排查端口映射时我经常用docker inspect 容器名 --format {{json .NetworkSettings.Ports}}2.3 构建镜像docker build最少必要参数本地写好了 Dockerfile执行docker build -t myapp:v1.0 .命令拆解-t表示给镜像打标签格式是名字:版本号最后的.是构建上下文路径表示把当前目录下的文件都发送给 Docker 守护进程。很多人在这里有个误区以为.只是 Dockerfile 的位置。实际上 Docker 会把.目录打包发送给 Docker 引擎所以如果当前目录里有 node_modules、dist 这类大型目录构建过程会非常慢。正确做法是在项目根目录写一个.dockerignore文件排除无关文件node_modules dist .git *.log还有--no-cache参数在调试 Dockerfile 的时候很有用docker build -t myapp:v1.0 --no-cache .不使用构建缓存可以让每次构建都从零开始避免缓存导致的异常。但平时开发调试建议还是用缓存加快速度。2.4 清理镜像docker rmi与docker image prune删除单个镜像docker rmi myapp:v1.0如果镜像正在被容器使用会提示冲突需要先删除容器或加上-f强制删除。我建议不要随意用-f先看清是哪个容器占用了它docker ps -a --filter ancestormyapp:v1.0批量清理悬空镜像即none标签镜像用docker image prune系统会提示确认加-f跳过确认docker image prune -f如果磁盘空间告急可以连容器、网络、构建缓存一起清理docker system prune -a --volumes注意docker system prune -a会清理未被使用的容器、网络、镜像以及构建缓存但--volumes会连带删除未被容器引用的数据卷生产环境执行前一定要仔细确认否则备份数据跟着一起没了。这个教训我印象太深了之前为了清磁盘空间执行过一次结果一个本地数据库备份卷被删了完全没提示因为“未被引用”就被当成垃圾了。3. 容器生命周期管理run、start、stop、rm 的正确用法容器是命令实操最密集的部分。掌握容器的创建、启动、停止和删除才算真正开始用 Docker。3.1docker run创建并启动容器的完整参数拆解docker run是最核心、参数最多的命令。一个典型的 Nginx 容器启动命令docker run -d --name my-nginx -p 8080:80 -v /opt/nginx/html:/usr/share/nginx/html nginx:1.25-alpine各参数拆解-d后台运行不加的话终端会一直挂在容器日志输出上。--name my-nginx给容器命名名字唯一后续操作都用它。-p 8080:80端口映射宿主机 8080 端口映射到容器 80 端口。-v /opt/nginx/html:/usr/share/nginx/html目录挂载宿主机目录映射到容器目录。nginx:1.25-alpine镜像名加标签。run还有一个特殊性如果镜像不存在它会先自动pull镜像再启动。所以有时候启动报错要分清是镜像拉取失败还是容器启动失败。在run的时候我一般还会带上这些参数docker run -d --name my-app --restartalways -e TZAsia/Shanghai --network app-net myapp:v1.0--restartalways容器退出或宿主机重启后自动拉起部署服务必备。-e TZAsia/Shanghai设置容器内时区很多默认镜像时区是 UTC跑业务日志会发现时间差 8 小时。--network app-net指定自定义网络。3.2 容器查看docker ps的过滤与状态判断查看运行中容器docker ps查看所有容器docker ps -a常用过滤条件# 只看某个镜像创建的容器 docker ps -a --filter ancestornginx # 只看退出状态的容器 docker ps -a --filter statusexited # 按容器名模糊匹配 docker ps -a --filter namemydocker ps输出的STATUS列有几种常见状态值Up正在运行。Exited (0)容器正常退出。Exited (137)容器被强制杀死常见原因是 OOM内存溢出。Restarting正在按重启策略重启说明容器启动后一直失败。Created容器已创建但没启动。看到这些状态就能初步判断问题方向。比如Exited (137)基本可以断定是内存问题可以用docker stats去看内存占用。3.3 容器启停与删除start、stop、restart、rmdocker stop my-nginx # 优雅停止等容器内进程处理完退出 docker start my-nginx # 启动已创建的容器 docker restart my-nginx # 重启容器 docker rm my-nginx # 删除容器这里有一个关键区别docker stop会向容器主进程发送 SIGTERM 信号等待进程自行退出如果超时才会发送 SIGKILL。而docker kill是直接发送 SIGKILL强制杀死。删除容器默认不能删除运行中的容器需要先stop或者用docker rm -f强制删除。还有一个批量删除技巧把已退出的容器全部清理掉docker rm $(docker ps -aq --filter statusexited)这段命令先列出所有已退出容器 ID再传给rm删除非常常用。注意在 PowerShell 里$(...)的写法同样可用CMD 里则要用for循环建议 Windows 用户直接用 PowerShell。3.4 容器日志排查docker logs的实时追踪与时间限制查看容器日志是排查问题最高频的操作docker logs my-nginx常用参数docker logs -f my-nginx # 实时跟踪日志输出 docker logs --tail 100 my-nginx # 只看最后 100 行 docker logs --since 5m my-nginx # 只看最近 5 分钟的日志 docker logs -f --tail 50 my-nginx # 实时跟踪且从最后 50 行开始-f相当于 Linux 里的tail -fCtrlC 退出跟踪但不会停止容器。排查启动失败问题时我通常是先docker ps -a确认容器状态。再用docker logs --tail 50 容器名看最后的报错信息。如果日志没输出用docker inspect看容器配置。日志输出如果太多可以加时间过滤比从头翻日志快得多。4. 容器内外数据交换exec、cp、logs、端口映射与数据卷学会启动、停止容器之后下一步就是和容器内部交互。你需要能进入容器执行命令、复制文件、配置端口映射、持久化数据。4.1 进入容器执行命令docker exec的交互模式在运行中的容器里执行命令docker exec my-nginx ls /usr/share/nginx/html进入容器的交互式终端docker exec -it my-nginx /bin/bash如果容器里没有 bash很多 alpine 镜像默认没有 bash用 shdocker exec -it my-nginx /bin/sh参数拆解-i保持标准输入打开-t分配一个伪终端。两个参数通常一起用写成-it。缺少-i时无法输入命令缺少-t时终端不会有良好的交互体验。调试数据库时我经常用docker exec -it mysql-container mysql -uroot -p这样不用在宿主机装 MySQL 客户端直接通过容器内的客户端访问数据库非常方便。4.2 容器与宿主机复制文件docker cp从宿主机复制文件到容器docker cp ./backup.sql mysql-container:/tmp/backup.sql从容器复制文件到宿主机docker cp mysql-container:/etc/mysql/my.cnf ./my.cnfdocker cp可以在容器没有运行的情况下使用因为它直接操作容器文件系统。我经常用它来做紧急备份docker cp mysql-container:/var/lib/mysql ./mysql-backup这比登录容器再打包下载要快而且不需要容器里有 tar、sftp 这些工具。4.3 端口映射-p和-P的差别-p手动指定端口映射-P是随机映射容器内所有暴露的端口到宿主机的高位随机端口。日常几乎都用-p。映射端口的常见写法# 指定宿主机端口到容器端口 docker run -p 80:80 nginx # 指定宿主机 IP 并绑定端口 docker run -p 192.168.1.100:80:80 nginx # 映射容器端口到宿主机随机端口 docker run -P nginx查看端口映射结果docker port my-nginx输出80/tcp - 0.0.0.0:8080用docker inspect也可以查到更详细的映射docker inspect my-nginx --format {{json .NetworkSettings.Ports}}4.4 数据卷与挂载-v、--mount与具名卷持久化数据有三种方式绑定挂载把宿主机目录直接挂到容器目录如-v /opt/data:/var/lib/mysql。具名卷Docker 管理的卷存放在 Docker 数据目录下把宿主机路径交给 Docker如-v mysql-data:/var/lib/mysql。匿名卷只写容器内路径由 Docker 自动生成一个卷名如-v /var/lib/mysql。具名卷比绑定挂载更好维护因为无需关心宿主机目录权限问题也更容易用docker volume命令做备份迁移。创建具名卷docker volume create mysql-data查看所有数据卷docker volume ls查看数据卷详情docker volume inspect mysql-data删除数据卷docker volume rm mysql-data备份一个数据卷内容到宿主机可以结合docker run --rm挂载两个卷来实现docker run --rm -v mysql-data:/source -v /backup:/target alpine cp -a /source/. /target/解释一下--rm表示容器退出后自动删除适合执行一次性任务。源卷挂到容器的/source宿主机备份目录挂到/target容器内用cp复制。这样不需要安装额外工具就能完成卷备份。4.5 只读挂载防止容器内配置被篡改挂载宿主机配置文件时可以加:ro只读权限docker run -d --name nginx-ro -v /opt/nginx/nginx.conf:/etc/nginx/nginx.conf:ro nginx这样容器内进程只能读不能写宿主机的配置文件。我一般给 Nginx、Redis、MySQL 的配置文件都用只读挂载避免容器内应用顺手改掉配置排查问题时少一个变量。5. 网络与 Compose多容器联动时最常用的几组命令前面都是单容器操作真实项目通常是一个服务带一个数据库再加一个缓存这时候网络和编排命令就必须掌握了。5.1 Docker 网络类型与创建自定义网络查看现有网络docker network ls常见三种网络bridge默认网络模式单机容器互通。host容器直接使用宿主机网络端口不隔离。none无网络。创建自定义网络docker network create app-net指定子网网段的创建方式docker network create --subnet172.20.0.0/16 --gateway172.20.0.1 app-net在启动容器时指定网络docker run -d --name web --network app-net nginx docker run -d --name db --network app-net mysql:8.0此时web容器内可以直接用db这个主机名访问 MySQL而不是用容器 IP。这个特性在微服务架构里非常实用服务间调用不用维护 IP 列表。把一个已经运行的容器加入到某个网络docker network connect app-net my-nginx从网络里移除docker network disconnect app-net my-nginx5.2 容器间访问IP 与容器名的取舍即使容器在同一个 bridge 网络里IP 也会因为重启而变化。例如 MySQL 容器重启后 IP 从172.17.0.2变成了172.17.0.3如果配置里写死了 IP数据库连接就会失败。所以原则很简单自定义网络下优先用容器名通信。Docker 自带的 DNS 会解析容器名到对应的容器 IP。不过这个 DNS 解析默认只在新版 Docker 的 bridge 网络中生效如果你在默认网络里发现容器名解析不了别纠结创建自定义网络才是正解。如果服务之间要暴露端口可以直接用宿主机 IP 加映射端口访问curl http://127.0.0.1:80805.3 docker compose一条命令拉起整个项目docker compose解决了多容器启动顺序和参数管理的问题。把容器配置写进docker-compose.yml然后docker compose up -d停止并删除项目容器和网络docker compose down只停止不删除docker compose stop查看编排项目中的容器状态docker compose ps查看日志docker compose logs -f一个简单的示例services: web: image: nginx:1.25-alpine ports: - 80:80 volumes: - ./html:/usr/share/nginx/html networks: - app-net db: image: mysql:8.0 environment: MYSQL_ROOT_PASSWORD: root123 MYSQL_DATABASE: testdb volumes: - mysql-data:/var/lib/mysql networks: - app-net volumes: mysql-data: networks: app-net:这里值得注意Compose 会自动创建一个项目专属网络所有服务默认在这个网络里服务名就是可解析的主机名。Compose 管理的容器名字会带上前缀比如web会变成项目名_web_1所以用docker ps查看时别觉得奇怪。提示新版docker-compose已经被并入了 Docker CLI所以建议优先使用带空格的docker compose而不是老项目里常见的docker-compose。如果系统提示没有这个命令说明你的 Docker 版本偏老或者没有安装 Compose 插件。6. 高频踩坑与排查实录权限、启动失败、网络不通怎么解决最后这部分才是我最想分享的内容。命令背得再多遇到实际问题不会排查等于零。以下都是我在实际环境里踩过的坑整理成清单方便你对照。6.1 权限问题permission denied与 Docker 组Linux 上安装 Docker 后直接用docker ps很可能会报Got permission denied while trying to connect to the Docker daemon socket at unix:///var/run/docker.sock这是因为当前用户不在docker用户组里。解决办法sudo usermod -aG docker $USER然后重新登录或执行newgrp docker修改后无需加 sudo 就能用 Docker。如果实在不想改组临时用 sudo 也可以但这样会有文件权限和 Docker context 的问题不推荐长期使用。还有一类权限问题是挂载目录的 UID/GID 不匹配。比如在容器里写的文件宿主机上显示root:root导致普通用户无权访问。解决思路是创建具备指定 UID 的用户或者在启动容器时用--user参数指定用户docker run --user 1000:1000 -v /opt/data:/data alpine ls /data如果你的宿主机用户 UID 是 1000这样容器内创建的文件就归属宿主机 1000 用户了。6.2 Docker Desktop 启动失败Virtualization 与 WSL2 问题Windows 上 Docker Desktop 偶尔会报类似“virtualization support not detected”或“failed to connect to the docker api at npipe:////./pipe/dockerDesktopEngine”的错误。这个报错的本质是 Docker 引擎没有启动而不是命令本身有问题。排查顺序建议这样确认 BIOS 里虚拟化功能已开启任务管理器“性能”页能看到“虚拟化已启用”。确认 Windows 功能里“适用于 Linux 的 Windows 子系统”和“虚拟机平台”都已勾选。打开管理员权限的 PowerShell执行wsl --status检查 WSL 状态。Docker Desktop 设置里确认后端是 WSL2 还是 Hyper-V。如果一直连接失败重启 WSLwsl --shutdown再手动启动 Docker Desktop。npipe连接失败还有一个常见原因Docker Desktop 还没完全启动命令行客户端就跑去连接多等几秒再执行命令一般能解决。6.3 网络不通容器无法访问外网或互访失败容器内访问外网失败先排查宿主机是否能上网再检查 DNS。进入容器测试docker exec -it nginx ping -c 4 baidu.com docker exec -it nginx cat /etc/resolv.conf容器内 ping 不通域名但能 ping 通 IP基本就是 DNS 问题。最常见的解决方法是启动容器时指定 DNSdocker run --dns 223.5.5.5 --dns 8.8.8.8 nginx容器之间互访失败先确认是不是在同一个网络docker network inspect app-net如果容器不在同一网络用docker network connect把它加进来。如果容器在同一个网络还是不通检查是不是端口没监听、容器内服务没启动。6.4 CPU 和内存占用docker stats一定要会用容器一直卡顿、重启或者 OOM直接用docker stats看资源占用docker stats这个命令会动态刷新每个容器的 CPU、内存、网络 I/O 数据。想限制容器资源使用在启动时加docker run --memory512m --cpus0.5 myapp:v1.0容器内存消耗超过限制时操作系统会触发 OOM Killer容器被杀死。这也就是之前看到的Exited (137)。遇到这个情况优先调大内存限制或者优化应用本身的内存配置。6.5 镜像下载慢怎么办docker pull慢是很多开发者都遇到过的痛点。除了网络运气的成分常见的优化手段是配置镜像源。编辑 Docker 的 daemon 配置文件/etc/docker/daemon.json{ registry-mirrors: [ https://docker.mirrors.example.com ] }改完要重启 Dockersudo systemctl restart docker配置镜像源的作用是让 Docker 优先从这些地址拉取镜像拉不到再回源到 Docker Hub。要注意网上能找到的公共镜像地址经常变化这里不推荐具体地址最好根据自己所在网络的实际情况选择官方或可信服务商提供的镜像源。如果公司有自建镜像仓库也可以在daemon.json里配置insecure-registries来访问 HTTP 协议的私有仓库避免因为证书问题拉取失败。6.6 误删数据卷的急救思路数据卷被误删之后容器还在但卷已经没了这时候别慌。先看容器还留着没有如果容器还在立刻停止容器别让它继续写数据。然后用docker run --rm临时启动一个容器把原来的数据目录挂载出来看看是否还有残留docker run --rm -v mysql-data:/var/lib/mysql -v /backup:/backup alpine cp -a /var/lib/mysql/. /backup/如果你的数据卷还没有彻底被清理这种操作有可能抢救回一部分文件。但更可靠的办法还是定期备份用前面提到的卷备份命令把数据卷同步到宿主机目录或者对象存储。数据安全问题上命令再熟练也要保留备份意识。回头看这些 Docker 常用命令你会发现真正复杂的不是命令数量而是背后那套“分层、隔离、临时、可编排”的思想。镜像像模板容器像实例数据卷让临时变成持久网络让分散变成协作。把这些概念映射到实际场景里命令只是工具而已。我个人在实际操作中的体会是刚开始别贪多就先玩熟run、ps、exec、logs、rm这五个命令把一个 Nginx 容器跑起来、改配置、看日志、删掉重建整个过程走上几遍比背一百个命令有用得多。等单容器玩顺了再上docker compose编排多服务那时候你会发现前面踩过的每一个坑其实都是理解 Docker 最好的教材。