我以前对 Docker 的理解很简单：

看完 Docker 入门视频之后我发现这个理解不算错，但太粗糙了。

Docker 真正解决的问题不是“怎么安装 Node、MongoDB、Nginx”，而是：

问题从哪里来？

假设我有一个后端项目。依赖这些东西：

• Node.js
• MongoDB
• pnpm / npm
• 一堆环境变量
• 指定端口
• 指定启动命令

在我自己的电脑上，这些东西都配好了所以项目可以跑。

换一台电脑，就可能出现这些问题：

node: command not found
mongo这方面。command not found
端口被占用
环境变量没配置
版本不一致
依赖安装失败

使用者痛点：每次在新机器上手动排查以上错误，都要耗费大量时间，且极易出错。

再看镜像，可以理解成“应用运行环境的快照”

镜像是一份静态模板它不是正在运行的程序。而是一套完整的文件程序层，包括操作程序基础层、语言运行时、项目代码、依赖还有默认启动命令。

镜像 = 操作程序基础层 + 语言运行时 + 项目代码 + 依赖 + 默认启动命令

至于例如，

docker pull nginx:alpine

这条命令会从远程镜像仓库下载一个 nginx:alpine 镜像到本地。该镜像已经包含了 Nginx 运行所需的一切。

从容器来看，由镜像创建出来的运行实例

容器是镜像的具体运行时实例。

• If 镜像是“类”，容器就是“对象”。其实，
• If 镜像是“安装包”。容器就是“运行中的应用”。

从示例来看，

docker run -d --name my-nginx -p 8080:80 nginx:alpine

• 使用 nginx:alpine 镜像。其实，
• 创建并启动一个容器。不过，
• 容器名字叫 my-nginx.
• -d 表示后台运行。
• -p 将宿主机的 8080 端口映射到容器的 80.

CURL 或浏览器访问  即可看到 Nginx 页面。此时本机并没有传统意义上的 Nginx 安装，而是 Docker 在容器里帮我们运行了它。

镜像和容器的关系

The relationship can be visualized as:

Dockerfile --build--> 镜像 --run--> 容器
# 或者类比烹饪过程：
菜谱 --做菜--> 菜品模板 --端上桌--> 实际菜品

You can create multiple containers from same image:

docker run -d --name nginx-1 -p 8081:80 nginx:alpine
docker run -d --name nginx-2 -p 8082:80 nginx:alpine
docker run -d --name nginx-3 -p 8083:80 nginx:alpine

The three containers share same underlying image but run independently.

Docker Hub：公共镜像仓库

The default registry that Docker pulls from is Docker Hub.

docker pull mongo:latest

You can think of Docker Hub as npm registry for container images:

npm registry → 存放 npm 包
Docker Hub → 存放 Docker 镜像

docker pull nginx:alpine
docker pull mongo:latest
docker pull redis:latest
docker pull node:lts-alpine

再看镜像仓库。不止 Docker Hub 一个选择

• Docker Hub 私有仓库
• Alicloud Container Registry Tencent Cloud Container Registry AWS ECR K8s Harbor 私有仓库

  从概念说明来看，

  li> 公司内部网络无法直接访问外网，所以往往部署私有化 Mirror 来缓存公共 镜 像，减少拉取延迟 和 网络风险。li> 对于敏感业务，需要在内网部署安全审计合规 的 私 有 仓 库。并结合 CI/CD 自动推送建立产 出。li> 多地域、多集群跨网站 部署 时，使用统一中心化 的 Registry 可以实现一次建立、多次消费。/ ul>
  li> 节省带宽 与 拉取 时间。li> 避免因网络波动导致建立失败。li> 可控制访问权限 与 审计日志。/ ul>

  为什么公司内网经常拉不到镜 像?不过，

  如果公司网络不能直接访问 Docker Hub。执行 docker pull 时会出现类似错误 ：

  
  bash
  failed to resolve reference "docker.io/library/mongo:"failed to fetch oauth tokenconnect timeout
  

  根本原因 是 Docker 客户端需要访问远程注册表，而公司防火墙或代理未开放相应出口。

  常用方法

  1. 配置公司代理并在 daemon.json 中声明。老实说，json{ "proxies": { "default": { "httpProxy": "http://proxy.company.com:3128","httpsProxy": "http://proxy.company.com:3128","noProxy": "127.0.0.1,localhost,.company.com" } } }

  2. 使用公司内部 Mirror / 私有仓库： bash docker tag mongo:latest internal-registry.company.com/mongo:latest docker push internal-registry.company.com/mongo:latest

  3. 至于离线导入。bash

  docker pull mongo:latest docker save -o mongo_latest.tar mongo

  docker load -i mongo_latest.tar

  4. 在 CI/CD 流水线中预先拉取基础镜像，并通过 --cache-from 参数加速后续建立。

  ---

  ="" 一张图理解="" 的主线<="">

  ="" 编写="">

  │ ▼ docker build │ ▼ 生成镜像 image │ ┌───────┴────────┐ ▼ ▼ docker run docker push │ │ ▼ ▼ 启动容器 上传至仓库 │ ▼ or machines │ ▼ docker pull │ ▼ docker run

  这就是 Docker 的主要闭环： 写 Dockerfile → 建立镜像 → 运行容器 → 推送仓库 → 拉取 & 再跑。

  代码结束

  < / pre>

  ---

  ="" 第一篇小结<="">

  概念	作用