1. 容器基础概念：从零理解Docker容器

容器本质上是一个运行中的进程，但它拥有自己独立的命名空间和资源限制。想象一下，你家的公寓楼里每个住户都住在完全隔音的房间里，看不到邻居的活动也听不到外面的声音——这就是容器与主机上普通进程的区别。

容器与镜像的关系就像面向对象编程中的类和实例。镜像是静态的模板文件，而容器是镜像运行时的实体。一个镜像可以创建多个容器，就像同一个类可以实例化多个对象。举个例子，nginx镜像可以同时运行10个容器，每个容器处理不同的网站流量。

容器技术带来的核心价值主要体现在三个方面：

• 环境一致性：开发者的笔记本、测试环境和生产环境使用完全相同的容器镜像，彻底解决"在我机器上能跑"的问题
• 资源隔离：每个容器有独立的CPU、内存和网络资源，一个容器崩溃不会影响其他容器
• 快速部署：容器启动只需毫秒级时间，比传统虚拟机快数十倍

2. 容器生命周期全流程解析

2.1 五种核心状态及其转换

容器生命周期包含五个关键状态，理解这些状态转换是掌握Docker的基础：

1. 初建状态(Created)：通过docker create命令创建但未启动的容器
2. 运行状态(Running)：正在执行进程的活跃容器，使用docker run或docker start进入此状态
3. 停止状态(Stopped)：进程已终止的容器，可通过docker stop或docker kill触发
4. 暂停状态(Paused)：使用docker pause冻结的容器，保留内存但暂停CPU执行
5. 删除状态(Deleted)：用docker rm移除后的最终状态

实际案例：当我们需要临时释放主机资源但不希望终止容器时，可以依次执行：

docker pause my_container  # 暂停容器
docker unpause my_container  # 恢复运行

2.2 异常状态处理实战

OOM内存溢出处理：当容器内存超过限制时，默认会被系统强制终止。我们可以通过以下方式优化：

docker run -m 512m --oom-kill-disable my_image  # 设置内存上限并禁用OOM Killer

容器异常退出恢复：通过--restart参数定义重启策略：

docker run --restart=on-failure:5 my_image  # 失败时最多重试5次

3. 核心命令实战指南

3.1 容器操作三板斧

创建与启动：

docker create -it --name=web -p 80:80 nginx:latest  # 创建容器
docker start web  # 启动已有容器
docker run -it --rm -v /data:/app_data alpine:latest  # 创建并立即运行

交互式操作：

docker exec -it web bash  # 进入运行中容器
docker attach web  # 连接至主进程(注意Ctrl+C会终止容器)

监控与调试：

docker logs -f --tail=100 web  # 实时查看最后100行日志
docker stats web  # 监控资源使用情况
docker top web  # 查看容器内进程树

3.2 高级运维技巧

容器热更新：

docker commit web nginx:v2  # 保存变更为新镜像
docker update --cpus=2 -m 1g web  # 动态调整资源限制

数据持久化方案：

docker run -v /host/path:/container/path -v volume_name:/data my_image

4. 生产环境最佳实践

4.1 性能优化要点

• 资源限制：始终设置--cpus和-m参数，避免单个容器耗尽主机资源
• 存储驱动：生产环境推荐使用overlay2存储驱动
• 日志管理：配置log-driver和log-opts避免日志占满磁盘

4.2 安全防护策略

• 最小权限原则：使用--user参数指定非root用户运行容器
• 只读文件系统：添加--read-only参数保护系统文件
• 网络隔离：为敏感服务创建独立网络

docker run --user=1000 --read-only --security-opt=no-new-privileges nginx

在实际项目中，我遇到过一个典型问题：某Java应用频繁OOM，最终通过组合使用-m限制内存、--oom-kill-disable防止突然终止，并配合JMX监控才彻底解决。这提醒我们容器化不是简单的环境打包，更需要根据应用特性进行针对性调优。