Docker基础教程（146）docker网络基础之端口暴露：Docker端口暴露深度猛料：你的应用服务，可不是“默认”就能见人的！—— 从入门到“通透”的奇幻漂流

第一章：当一个容器被创建时，它的世界是“自闭”的

想象一下，你刚刚docker run了一个崭新的Nginx容器。它完美地启动了，在它的内部世界（即容器网络命名空间）里，80端口正兢兢业业地伺候着HTTP请求。

但是，你兴冲冲地在宿主机的浏览器里输入localhost:80——404， 502，或者干脆“无法连接”。

这一刻，你的容器像极了一个躲在厚厚的城堡里、却忘了放下吊桥的贵族。它内部一切运转正常，但外界根本无法与之对话。

Why？！

这就要从Docker的网络模型说起了。默认情况下，Docker会给容器一个私有IP地址（比如172.17.0.2），并将它连接到一个名为bridge的虚拟网络上。这个网络就像公司内部的局域网，容器之间可以凭借IP地址互相访问，但外界的流量（来自你的宿主机或其他物理设备）默认是无法流入的。

第二章：放下吊桥——端口暴露的“三重境界”

要想让外部的请求能够访问容器内的服务，我们必须主动地“打开一扇门”，也就是端口映射（Port Mapping）。这个过程有三重境界，层层递进。

境界一：宣言式暴露（EXPOSE）—— 我只是个“文档”

在Dockerfile里，你经常会看到这样一行指令：

FROM nginx:alpine
EXPOSE 80

很多人误以为写了EXPOSE 80，构建出的镜像运行后就能从外面访问了。大错特错！

EXPOSE指令的真正作用是元数据。它相当于在镜像的说明书上写了一行：“嗨，注意咯，我这个容器里的服务会在80端口监听哦！”它主要起到两个作用：

文档说明：告诉镜像的使用者，哪些端口是重要的。
为-P随机映射提供依据：在运行时使用-P（大写）参数时，Docker会自动读取所有EXPOSE的端口，并为它们在宿主机上绑定一个随机的高位端口（如32768+）。

所以，单独使用EXPOSE，吊桥依然没有放下！它只是个声明，不是操作。

境界二：运行时随机映射（-P）—— 薛定谔的端口

上面提到了-P（大写P）参数。它的玩法是：

docker run -d --name my-nginx -P nginx:alpine

运行后，你需要用docker port my-nginx命令来查看Docker把容器内的80端口随机映射到宿主机的哪个端口上了。

$ docker port my-nginx
80/tcp -> 0.0.0.0:49153

这意味着，你现在可以通过访问宿主机的49153端口来访问容器的80服务了（http://localhost:49153）。

优点：方便，省事，不用自己记端口，避免端口冲突。
缺点：端口是随机的，不适合生产环境固定端口的需求。这就像给你家的门换了个密码锁，但密码每天随机变。

境界三：运行时固定映射（-p）—— 我的地盘听我的

这才是最常用、最强大的方式！-p（小写p）参数允许你进行精确的端口映射。

其命令格式为：-p <host-port>:<container-port>

<host-port>：宿主机上的端口号。
<container-port>：容器内部的端口号。

Docker会忠实地将所有发送到宿主机<host-port>的流量，转发到指定容器的<container-port>上。

示例1：最基础的映射
将宿主机8080端口映射到容器80端口。

docker run -d --name my-nginx -p 8080:80 nginx:alpine

访问 http://localhost:8080 即可。

示例2：指定宿主机IP
默认绑定所有宿主机IP（0.0.0.0）。如果你有多块网卡，或者只想让来自特定IP的请求被处理，可以指定IP。

docker run -d --name my-nginx -p 127.0.0.1:8080:80 nginx:alpine

这样，只有在本机访问127.0.0.1:8080或localhost:8080才能成功，在其他机器上访问宿主机的IP是无法连接的。更安全！

示例3：映射多个端口
一个容器可以提供多个服务（比如Web和API），那就映射多个端口。

docker run -d --name my-app \
  -p 8080:80 \
  -p 3000:3000 \
  my-custom-app

第三章：实战！完整示例——部署一个Web应用

光说不练假把式。让我们来一个完整的示例，部署一个简单的Python Flask应用。

第1步：编写应用代码（app.py）

from flask import Flask
app = Flask(__name__)

@app.route('/')
def hello_world():
    return '<h1>Hello, Docker Network! I am exposed to the world!</h1>'

if __name__ == '__main__':
    app.run(host='0.0.0.0', port=5000) # 关键！监听所有接口

第2步：编写Dockerfile

# 使用官方Python轻量级基础镜像
FROM python:3.9-alpine

# 设置工作目录
WORKDIR /app

# 将依赖文件拷贝到容器中
COPY requirements.txt .

# 安装依赖
RUN pip install -r requirements.txt

# 声明容器运行时暴露的端口（境界一：文档）
EXPOSE 5000

# 将应用代码拷贝到容器中
COPY app.py .

# 定义容器启动命令
CMD ["python", "app.py"]

第3步：构建镜像

docker build -t my-flask-app .

第4步：运行容器并进行端口映射（境界三：固定映射）

# 将宿主的9876端口映射到容器的5000端口
docker run -d --name my-running-app -p 9876:5000 my-flask-app

第5步：验证！

docker logs my-running-app 查看容器日志，应该看到Flask正常启动。
在宿主机浏览器访问：http://localhost:9876
你应该能看到大大的成功字样：Hello, Docker Network! I am exposed to the world!

恭喜你！你已经成功为你的容器放下了通往外部世界的吊桥！

第四章：底层原理浅窥与安全须知

当你执行-p 8080:80时，Docker在背后为你做了什么呢？

创建iptables规则：Docker最核心的网络魔法是通过Linux的iptables实现的。它会自动创建NAT（网络地址转换）规则。当你访问宿主机IP的8080端口时，iptables规则会识别到这个请求，并将其目标地址“篡改”为容器的私有IP和80端口。
使用docker-proxy：在某些系统上，Docker还会启动一个名为docker-proxy的进程来辅助完成端口的转发工作。

安全提醒：