又是這個環(huán)節(jié)——代碼寫完了本地跑通了測試環(huán)境一切正常接下來就是把服務(wù)扔到云服務(wù)器上讓它在公網(wǎng)活起來。這一步聽著簡單實(shí)際做起來坑不少。域名解析、防火墻、環(huán)境依賴、數(shù)據(jù)庫遷移、日志保留哪一個環(huán)節(jié)沒理順半夜就能收到告警電話。我最近一次上線項目也是用 Docker 完成的借著這次實(shí)操把整個部署流程和踩過的坑整理出來分享給同樣在忙部署的朋友。這篇總結(jié)適合正在做中小型項目上線的開發(fā)者尤其是從“本地能跑”到“服務(wù)器上穩(wěn)定運(yùn)行”這個跨越階段的人內(nèi)容覆蓋鏡像構(gòu)建、編排方案、數(shù)據(jù)遷移、線上排查等完整鏈路照著走能少走不少彎路。先說一個很關(guān)鍵的整體判斷Docker 部署這事難點(diǎn)從來不是“把容器跑起來”而是“跑起來之后怎么讓它穩(wěn)定、可維護(hù)、可回滾”。很多人第一次用 Docker 部署項目時都會有一種錯覺——本地 docker-compose up 一切正常服務(wù)器上復(fù)制一遍應(yīng)該也行。真到服務(wù)器上你會發(fā)現(xiàn)鏡像構(gòu)建緩慢、內(nèi)存不足、數(shù)據(jù)庫數(shù)據(jù)卷權(quán)限、容器日志不持久化、時區(qū)不一致、自啟動策略失效這些全是隱藏的地雷。這篇文章我想按實(shí)際的部署順序來講從方案選型開始到鏡像構(gòu)建、Compose 編排、數(shù)據(jù)持久化、反向代理、線上排查最后分享一些實(shí)踐教訓(xùn)盡量把每一個關(guān)鍵節(jié)點(diǎn)背后的“為什么”說清楚。1. 部署之前先把方案選型想清楚1.1 單容器還是編排先分清項目形態(tài)很多新手一開始就容易陷入糾結(jié)到底用docker run一條命令跑起來還是老老實(shí)實(shí)寫一套docker-compose.yml我的建議很簡單只要項目依賴了兩個以上服務(wù)比如前端 后端 MySQL就直接上 Compose別猶豫。docker run適合臨時驗(yàn)證鏡像、單容器調(diào)試這種一次性場景它的問題是每次啟動都要帶上一長串參數(shù)端口映射、環(huán)境變量、數(shù)據(jù)卷、網(wǎng)絡(luò)模式寫完自己都不想看第二遍。而且一旦涉及多個容器之間的通信用docker run一個個啟動再手動建網(wǎng)絡(luò)整個操作流程的脆弱性會成倍增加。舉一個我實(shí)際經(jīng)歷過的例子某次上線模擬項目 X組件包括前端 Nginx 容器、后端 API 容器和一個 MySQL 容器。如果用docker run分別啟動得先docker network create創(chuàng)建自定義網(wǎng)絡(luò)、再依次啟動數(shù)據(jù)庫、后端、前端三個容器之間通過容器名互相訪問。這一套操作做完沒問題但下次重新部署、服務(wù)器重啟后恢復(fù)、換一臺機(jī)器遷移全得重來。而 Compose 文件把這些全部聲明出來docker-compose up -d一條命令完成從網(wǎng)絡(luò)創(chuàng)建到容器啟動的全部過程可復(fù)制性、可審查性都強(qiáng)得多。1.2 服務(wù)器環(huán)境提前確認(rèn)這四件事方案確定之后還得先檢查服務(wù)器本身。我見過太多人在服務(wù)器上裝完 Docker 就開始部署結(jié)果后面資料堆積、排錯半天最后發(fā)現(xiàn)是最基礎(chǔ)的環(huán)境問題。上服務(wù)器之前至少確認(rèn)四件事系統(tǒng)版本和內(nèi)核Docker 對內(nèi)核版本有要求uname -r看一下如果內(nèi)核過老有些新版鏡像可能起不來。Ubuntu 20.04 以上、Debian 11 以上這類版本基本都沒問題。磁盤剩余空間鏡像加數(shù)據(jù)很容易把磁盤塞滿df -h確認(rèn)一下建議至少預(yù)留 20G 以上否則鏡像構(gòu)建到一半直接報 no space left。內(nèi)存大小free -h看下實(shí)際內(nèi)存如果只有 1G - 2G構(gòu)建 Java、前端這類重鏡像時很容易觸發(fā) OOM。防火墻狀態(tài)很多云服務(wù)商的安全組和系統(tǒng)防火墻是兩套體系需要兩邊都確認(rèn)放行端口。這里有個很容易踩的坑云服務(wù)商的安全組是卡在虛擬機(jī)外層的系統(tǒng)自帶的ufw或firewalld是虛擬機(jī)內(nèi)部的。你可能把安全組的端口放開了結(jié)果忘了系統(tǒng)防火墻沒放行服務(wù)從外部訪問不了排查半天還以為是容器出問題了。遇到“端口明明映射了但訪問不通”的情況先按這個順序排查安全組 → 系統(tǒng)防火墻 → 容器端口映射 → 應(yīng)用監(jiān)聽地址。1.3 手動部署和 Docker 部署的取舍很多團(tuán)隊已經(jīng)習(xí)慣了手動部署本地打包、scp 上傳、連上服務(wù)器找進(jìn)程 kill 掉、替換文件、重啟服務(wù)。這套流程在項目只有一個節(jié)點(diǎn)、更新頻率低的時候勉強(qiáng)可用。但一旦服務(wù)要擴(kuò)容、要遷移服務(wù)器、要快速回滾版本手動部署的劣勢就非常明顯服務(wù)器上散落著各種半新半舊的依賴、手動改過的配置文件換一臺機(jī)器根本復(fù)現(xiàn)不出來。Docker 把應(yīng)用和它的運(yùn)行環(huán)境整個打包進(jìn)鏡像依賴項、啟動命令、工作目錄、端口聲明全都固化在鏡像和 Compose 文件里只要這兩樣?xùn)|西在任何一臺裝了 Docker 的服務(wù)器都能還原出一模一樣的運(yùn)行狀態(tài)。我在一次遷移經(jīng)歷里體會特別深要把整套服務(wù)從舊服務(wù)器遷到新服務(wù)器用 Docker 的話打包備份數(shù)據(jù)庫數(shù)據(jù)卷、上傳鏡像或者直接拉取鏡像、復(fù)制 Compose 文件和.env半小時內(nèi)就能完成切換。如果純手工部署各種軟件的安裝版本、路徑、配置差異足以讓人加班到天亮。2. 鏡像構(gòu)建階段的細(xì)節(jié)與優(yōu)化2.1 多階段構(gòu)建把鏡像體積打下來既然要用 Docker 部署第一關(guān)就是寫鏡像構(gòu)建文件。如果你的項目是編譯型語言Go、Java、前端 Node 構(gòu)建產(chǎn)物建議直接上多階段構(gòu)建multi-stage build。它的核心思想是構(gòu)建階段用完整的編譯環(huán)境比如帶 Node 或 JDK 的基礎(chǔ)鏡像最終運(yùn)行階段只拷貝編譯好的產(chǎn)物到輕量鏡像里這樣做出來的鏡像體積往往能縮小一半以上而且運(yùn)行時沒有多余工具鏈也降低了被攻擊的風(fēng)險。以前端項目為例Dockerfile 可以這樣寫# 階段一構(gòu)建 FROM node:18-alpine AS builder WORKDIR /app COPY package.json ./ RUN npm install COPY . . RUN npm run build # 階段二運(yùn)行 FROM nginx:1.25-alpine COPY --frombuilder /app/dist /usr/share/nginx/html COPY nginx.conf /etc/nginx/conf.d/default.conf EXPOSE 80這樣構(gòu)建出來的鏡像只包含 Nginx 和靜態(tài)文件體積可能只有幾十兆。如果在第一階段直接用 node 鏡像去跑生產(chǎn)光 node_modules 就有幾百兆更別提基礎(chǔ)鏡像本身的體積差距。后端的思路類似以 Spring Boot 項目為例# 階段一構(gòu)建 FROM maven:3.8-openjdk-17 AS builder WORKDIR /app COPY pom.xml . RUN mvn dependency:go-offline COPY src ./src RUN mvn package -DskipTests # 階段二運(yùn)行 FROM openjdk:17-jre-slim COPY --frombuilder /app/target/*.jar app.jar EXPOSE 8080 ENTRYPOINT [java, -jar, /app.jar]注意這里我把依賴下載和源碼拷貝分成了兩步COPY pom.xml . RUN mvn dependency:go-offline是為了充分利用 Docker 構(gòu)建緩存。如果不分開每次改一行代碼都會觸發(fā)完整的依賴重下載構(gòu)建速度會慢到一個讓人崩潰的程度。這個優(yōu)化在本地開發(fā)時就能明顯感覺到差異團(tuán)隊協(xié)作時更是巨大提升。2.2 時區(qū)問題部署第一天就得處理鏡像構(gòu)建階段容易被忽略但影響深遠(yuǎn)的一個點(diǎn)時區(qū)。默認(rèn)情況下很多基礎(chǔ)鏡像的時區(qū)是 UTC而國內(nèi)業(yè)務(wù)一般需要 CST北京時間。如果容器里運(yùn)行的業(yè)務(wù)需要打印日志、做定時任務(wù)時區(qū)不一致會導(dǎo)致日志時間和服務(wù)器本地時間差 8 小時定時任務(wù)定點(diǎn)執(zhí)行容易直接錯位。最簡單的處理方式是在 Dockerfile 里直接設(shè)置ENV TZAsia/Shanghai RUN ln -snf /usr/share/zoneinfo/$TZ /etc/localtime echo $TZ /etc/timezone或者更簡潔的方式在 Compose 文件里統(tǒng)一配置environment: - TZAsia/Shanghai需要注意Nginx 鏡像基于 Alpine 時可能沒有/usr/share/zoneinfo目錄這時可以安裝tzdata包或者直接用 Compose 的TZ環(huán)境變量來達(dá)到目的。Java 應(yīng)用則最好在啟動命令中顯式指定-Duser.timezoneAsia/Shanghai因?yàn)?JVM 默認(rèn)有時自己從系統(tǒng)讀時區(qū)有時又會優(yōu)先讀環(huán)境變量多設(shè)一手最保險。2.3 構(gòu)建用戶權(quán)限別讓 root 在裸奔另一個細(xì)節(jié)是容器內(nèi)用戶權(quán)限。默認(rèn)情況下 Docker 容器內(nèi)以 root 運(yùn)行構(gòu)建時 RUN 的指令都以 root 執(zhí)行生產(chǎn)容器在對外提供服務(wù)時保持 root 身份會增大被攻擊后的風(fēng)險面。很多官方鏡像也專門提供了更安全的做法。我自己的習(xí)慣是Nginx 這種本身設(shè)計良好的鏡像保持默認(rèn)即可但對于 Java、Python、Node 這類應(yīng)用鏡像在 Dockerfile 里創(chuàng)建一個非 root 用戶來啟動應(yīng)用RUN addgroup -S appgroup adduser -S appuser -G appgroup USER appuser這個 USER 指令放在 ENTRYPOINT 之前之后的所有運(yùn)行階段包括 PID 1 進(jìn)程都會以非 root 身份執(zhí)行。有一類坑是數(shù)據(jù)卷掛載目錄的權(quán)限如果宿主機(jī)上的數(shù)據(jù)目錄是 root 所有容器內(nèi)非 root 用戶寫入時會提示 permission denied需要在宿主機(jī)上先處理目錄歸屬chown或者掛載時使用適當(dāng)?shù)挠脩?ID 映射。3. Compose 編排把服務(wù)之間的關(guān)系一次理清3.1 服務(wù)拆分與實(shí)際依賴關(guān)系有了單個鏡像接下來是把多個服務(wù)組織起來。docker-compose.yml是部署的核心配置文件它的價值在于把“網(wǎng)絡(luò)、端口、數(shù)據(jù)卷、環(huán)境變量、啟動順序”這些運(yùn)維信息全部聲明化。部署上線時真正需要維護(hù)的不是命令而是這份聲明文件。在做 Compose 編排時先梳理清楚項目包含哪些服務(wù)服務(wù)之間的依賴方向是怎么走的然后才動手寫配置。我用一個常見的前后端分離項目來舉例服務(wù)包括前端靜態(tài)資源由 Nginx 容器提供服務(wù)后端 APIJava 或 Node 容器數(shù)據(jù)庫 MySQL緩存 Redis如果有對應(yīng)的 Compose 配置大致是這樣version: 3.8 services: mysql: image: mysql:8.0 container_name: project-mysql restart: always environment: MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD} MYSQL_DATABASE: ${MYSQL_DATABASE} volumes: - mysql-data:/var/lib/mysql networks: - internal backend: build: ./backend container_name: project-backend restart: always depends_on: - mysql environment: SPRING_PROFILES_ACTIVE: prod DB_HOST: mysql DB_PORT: 3306 DB_NAME: ${MYSQL_DATABASE} DB_USER: root DB_PASSWORD: ${MYSQL_ROOT_PASSWORD} ports: - 8080:8080 networks: - internal frontend: build: ./frontend container_name: project-frontend restart: always depends_on: - backend ports: - 80:80 networks: - internal networks: internal: driver: bridge volumes: mysql-data: driver: local3.2 端口映射與網(wǎng)絡(luò)模式的關(guān)鍵選擇Compose 文件里最容易糾結(jié)的是端口映射。這里我想強(qiáng)調(diào)一個原則容器與容器之間通過內(nèi)部網(wǎng)絡(luò)訪問盡量少用端口映射暴露給宿主機(jī)。比如后端 8080 端口如果只是前端 Nginx 反向代理需要訪問完全可以不映射到宿主機(jī)讓 Nginx 容器通過http://backend:8080直接訪問內(nèi)部的 8080。只有在需要外部直接訪問時才映射到宿主機(jī)的某個端口。這樣做有幾個好處第一減少了宿主機(jī)的端口占用和暴露面安全組、防火墻要放行的端口更少第二容器間的訪問走 Docker 內(nèi)部網(wǎng)絡(luò)不經(jīng)過宿主機(jī)網(wǎng)絡(luò)棧時延更低且不受宿主機(jī)防火墻策略干擾第三未來如果有多臺后端實(shí)例前端只需要指向同一個服務(wù)名改起來也簡單。MySQL 這種數(shù)據(jù)庫服務(wù)我的習(xí)慣是端口不映射到宿主機(jī)只有開發(fā)調(diào)試時臨時加一個映射。生產(chǎn)環(huán)境數(shù)據(jù)庫暴露在宿主機(jī)端口上等于給攻擊者多開了一扇門而且對本機(jī)的其他服務(wù)來說本來就可以通過內(nèi)部網(wǎng)絡(luò)訪問沒必要多此一舉。如果非要外部備份工具連數(shù)據(jù)庫可以考慮用 SSH 隧道或者在安全組里限制訪問來源 IP。3.3 數(shù)據(jù)庫容器化的數(shù)據(jù)持久化方案用 Docker 跑 MySQL 這類有狀態(tài)服務(wù)最關(guān)心的就是數(shù)據(jù)會不會丟。容器本身是無狀態(tài)的重啟、升級容器后內(nèi)部文件系統(tǒng)的數(shù)據(jù)都可能丟失所以數(shù)據(jù)卷volume是必須的。Compose 文件里mysql-data:/var/lib/mysql這個聲明會讓 Docker 把數(shù)據(jù)存放在它托管的卷目錄中容器刪除重建后數(shù)據(jù)依然在。這里我給一個有一定經(jīng)驗(yàn)的人可能都會推薦的進(jìn)階做法不要把數(shù)據(jù)庫和業(yè)務(wù)應(yīng)用塞在同一個 Compose 項目里強(qiáng)制綁定反而可以給數(shù)據(jù)庫單獨(dú)建一個 Compose 文件單獨(dú)管理它的生命周期。原因是業(yè)務(wù)應(yīng)用發(fā)布頻率高數(shù)據(jù)庫基本不動如果混在一起每次docker-compose up -d都可能因?yàn)榕渲貌町悓?dǎo)致數(shù)據(jù)庫容器被重建這無疑增大了數(shù)據(jù)風(fēng)險。數(shù)據(jù)卷的使用還有一個注意事項容器內(nèi)運(yùn)行的用戶對數(shù)據(jù)卷目錄是否可寫。MySQL 鏡像對此相對友好它會在啟動時自動處理數(shù)據(jù)目錄權(quán)限但如果你用自定義鏡像并把數(shù)據(jù)目錄掛載到宿主機(jī)某個目錄bind mount權(quán)限問題就經(jīng)常出現(xiàn)。解決方式是在宿主機(jī)上提前創(chuàng)建目錄并設(shè)置正確的屬主或者使用:z這類 SELinux 標(biāo)簽特定系統(tǒng)需要。3.4 環(huán)境變量管理別把密碼硬編碼進(jìn) Compose 文件Compose 文件里我用了${MYSQL_ROOT_PASSWORD}這種變量引用方式這是強(qiáng)烈建議的實(shí)踐。docker-compose.yml本身可能被提交到代碼倉庫里如果里面直接寫數(shù)據(jù)庫密碼、密鑰、第三方 API Token就等于把機(jī)密信息暴露給了所有有代碼倉庫權(quán)限的人。正確做法是把這些變量放在.env文件中并且把.env加入.gitignore。Compose 會自動讀取同目錄下的.env文件填充變量。還有一個常見做法是使用 Docker 的 secrets 機(jī)制但在單機(jī) Compose 部署場景下.env文件權(quán)限管理比如設(shè)置成 600已經(jīng)能滿足大部分需求。后面如果上到 K8s會有更完整的 secrets 方案這里不展開。4. 從鏡像到線上一次完整的部署履歷記錄4.1 準(zhǔn)備部署目錄與環(huán)境變量服務(wù)器上建議建立一個清晰的部署目錄比方說/opt/project下面放 Compose 文件、.env、備份腳本。千萬不要圖省事把部署文件直接丟在 root 目錄等部署的服務(wù)多起來目錄結(jié)構(gòu)混亂會讓人很痛苦。我的目錄習(xí)慣是/opt/project/ docker-compose.yml .env backup/ logs/ README.md.env文件里放的是各種環(huán)境變量。這里提醒一下.env中的值不要加引號比如MYSQL_PASSWORDStrongPassword123就好Compose 在解析時如果檢測到引號會把它當(dāng)成值的一部分。一個細(xì)節(jié)是密碼中如果包含特殊字符如$、#需要留意轉(zhuǎn)義問題$在 Compose 里有特殊含義可以用$$轉(zhuǎn)義或者避免這類字符。4.2 鏡像構(gòu)建與推送服務(wù)器上構(gòu)建還是本地構(gòu)建代碼準(zhǔn)備好、Compose 文件也寫完接下來是如何把鏡像弄到服務(wù)器上。這里有兩種路徑各有優(yōu)劣本地或 CI 構(gòu)建鏡像推送到鏡像倉庫比如 Docker Hub、私有倉庫服務(wù)器上直接docker pull。服務(wù)器上直接執(zhí)行docker compose build用服務(wù)器資源現(xiàn)場構(gòu)建。第一種方式適合有持續(xù)集成流水線、團(tuán)隊協(xié)作的場景鏡像在受控環(huán)境里構(gòu)建確?？蓮?fù)現(xiàn)性缺點(diǎn)是如果要推公網(wǎng)倉庫鏡像涉及敏感業(yè)務(wù)代碼時需要謹(jǐn)慎隱私問題可以考慮私有倉庫或服務(wù)器本地 registry。第二種方式在小項目、個人項目中很常用優(yōu)點(diǎn)是簡單直接代碼傳到服務(wù)器上直接構(gòu)建缺點(diǎn)也很明顯——服務(wù)器性能有限構(gòu)建大型前端項目會產(chǎn)生大量編譯臨時文件如果磁盤空間和內(nèi)存沒到位很容易構(gòu)建失敗。我用的折中方案是在本地先把鏡像構(gòu)建好打包導(dǎo)出再上傳到服務(wù)器加載。這個方案適合個人部署和網(wǎng)絡(luò)帶寬夠快的場景# 本地構(gòu)建鏡像 docker build -t my-project-backend:1.0 ./backend # 導(dǎo)出鏡像 docker save my-project-backend:1.0 | gzip my-project-backend.tar.gz # 上傳到服務(wù)器后加載 gunzip -c my-project-backend.tar.gz | docker loaddocker save和docker load是鏡像遷移中非常趁手的工具比直接 pull 更可控尤其是服務(wù)器和本地?zé)o法通過鏡像倉庫互通的時候。當(dāng)然如果服務(wù)器本身帶寬好、內(nèi)存充足直接在服務(wù)器上docker compose build也不差畢竟少了幾次文件傳輸。4.3 啟動服務(wù)與檢查運(yùn)行狀態(tài)首次上線時我會一步一步來不會直接docker-compose up -d一次性拉起所有服務(wù)。建議的順序是先啟動數(shù)據(jù)庫等它初始化完成并且健康檢查通過再啟動后端最后起前端。這樣更容易定位問題是出在哪一層。# 啟動并查看日志 docker compose up -d mysql docker compose logs -f mysql # 確認(rèn)數(shù)據(jù)庫就緒后 docker compose up -d backend docker compose logs -f backend # 最后再啟動前端 docker compose up -d frontend首次啟動時最好用docker compose logs -f跟著看日志輸出。很多人喜歡直接up -d完就不管了結(jié)果過了很久發(fā)現(xiàn)某個容器啟動失敗還得從日志里一點(diǎn)點(diǎn)排查。首次部署時多花幾分鐘跟一下日志能省下后面幾十分鐘的排查時間。docker compose ps是日常查看運(yùn)行狀態(tài)的命令可以看每個容器的狀態(tài)、端口映射和健康狀態(tài)。如果 Compose 文件里定義了 healthcheck日志輸出和ps狀態(tài)都會更豐富。我個人強(qiáng)烈建議給依賴類服務(wù)都寫上 healthcheck比如 MySQLhealthcheck: test: [CMD, mysqladmin, ping, -h, localhost] interval: 10s timeout: 5s retries: 5這樣 Compose 的depends_on可以配合condition: service_healthy讓后端等服務(wù)真正“就緒”后再啟動而不是單純“進(jìn)程起來了”就啟動。這個機(jī)制能大幅降低因啟動順序問題導(dǎo)致的連接失敗。4.4 反向代理配置與 HTTPS 接入前端容器如果直接用 Nginx 提供服務(wù)通常還需要做好兩件事把/api這類請求反向代理到后端容器以及配置 HTTPS 證書。拿前端 Nginx 配置舉例容器內(nèi)部監(jiān)聽 80 端口宿主機(jī)通過 80 端口對外提供服務(wù)。配置反向代理的要點(diǎn)是 upstream 指向后端容器名因?yàn)?Compose 網(wǎng)絡(luò)內(nèi)可以通過服務(wù)名訪問server { listen 80; server_name example.com; root /usr/share/nginx/html; index index.html; location / { try_files $uri $uri/ /index.html; } location /api/ { proxy_pass http://backend:8080; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme; } }上面的try_files是 SPA單頁應(yīng)用必需的處理邏輯否則刷新頁面時 Nginx 會嘗試找真實(shí)文件找不到就返回 404而不是正確回退到index.html。HTTPS 證書可以用 certbot 在宿主機(jī)上申請并自動續(xù)期然后把證書目錄掛載進(jìn) Nginx 容器再在 Nginx 配置里啟用 443 端口并跳轉(zhuǎn) 80。掛載證書時要注意容器內(nèi) Nginx 用戶對證書文件的讀取權(quán)限有時候證書文件是 root 權(quán)限且目錄不可讀容器內(nèi)啟動 Nginx 會直接報錯。4.5 日常發(fā)布更新鏡像版本管理項目上線之后日常更新的流程應(yīng)該是高度標(biāo)準(zhǔn)化、可復(fù)現(xiàn)的。我的標(biāo)準(zhǔn)發(fā)布流程是# 1. 在部署目錄中更新代碼或切換分支 # 2. 重新構(gòu)建鏡像 docker compose build backend # 3. 滾動重啟對應(yīng)服務(wù) docker compose up -d backend # 4. 檢查服務(wù)狀態(tài) docker compose ps docker compose logs --tail50 backend這里有一個發(fā)布版本管理的細(xì)節(jié)盡量不要使用latest標(biāo)簽。latest帶來的問題是無法精確知道線上跑的是哪個版本。我習(xí)慣用明確的版本號標(biāo)簽比如my-project-backend:1.2.0Compose 文件里也寫死這個具體版本?；貪L時就很簡單——把 Compose 文件里的版本改回上一個重新up -d即可。如果用latest回滾時根本不知道“上一個”是哪個只能瞎猜這是很可怕的事情。5. 線上排查這幾類問題我基本都遇到過5.1 容器一直重啟日志倒是一堆線上最容易遇到的一個現(xiàn)象容器啟動幾秒后退出又被restart: always拉起來反復(fù)重啟日志刷了一屏又一屏。這時候第一件事是看日志但注意要看的是docker logs的最后幾百行不是從頭翻到尾。很多啟動失敗的原因在最后幾行就能找到。常見原因分成幾類端口沖突宿主機(jī)上已經(jīng)有別的進(jìn)程占了容器要映射的端口。用ss -lntp看一下端口占用。環(huán)境變量缺失代碼里讀取某個環(huán)境變量時找不到值啟動時直接拋異常。檢查.env里變量名和 Compose 里引用是否一致。數(shù)據(jù)庫連接失敗后端在啟動階段就連數(shù)據(jù)庫數(shù)據(jù)庫還沒就緒、密碼錯誤、網(wǎng)絡(luò)不通都會導(dǎo)致后端崩潰。這時候有效的辦法是等數(shù)據(jù)庫就緒后再啟動后端或者使用前面說的 healthcheck 機(jī)制。內(nèi)存不足如果docker compose ps顯示容器狀態(tài)是OOMKilled大概率就是內(nèi)存不夠。用free -h和dmesg | grep -i oom確認(rèn)。我的建議是排查問題時按“日志 → 資源 → 配置”三層來。先看日志定位是什么層面的錯誤再看系統(tǒng)和容器的資源使用情況最后核對配置項和環(huán)境變量。直接猜原因往往是在浪費(fèi)時間。5.2 宿主機(jī)能訪問公網(wǎng)就是訪問不了這類問題的特征很明確在服務(wù)器本機(jī) curl 服務(wù)的地址能通從外網(wǎng)訪問就是超時或者拒絕連接。這時候大概率跟容器沒什么關(guān)系問題出在網(wǎng)絡(luò)鏈路上排查順序是檢查云服務(wù)商安全組是否放行了對應(yīng)端口TCP 80/443/8080 等。檢查系統(tǒng)防火墻是否放行比如ufw status。檢查容器端口映射是否正確docker ps看PORTS列。檢查應(yīng)用本身是否監(jiān)聽了正確的地址有些框架默認(rèn)只監(jiān)聽 127.0.0.1容器內(nèi)或宿主機(jī)訪問外部 IP 時就會失敗。另外要提醒一個容易忽略的場景某些云廠商的安全組規(guī)則不是即時生效修改后有一定延遲別著急判斷沒生效等一兩分鐘再測試。5.3 數(shù)據(jù)卷備份與恢復(fù)的實(shí)操記錄線上跑了一段時間數(shù)據(jù)庫里積累了不少數(shù)據(jù)這時候最怕的就是誤操作把數(shù)據(jù)庫容器刪了。雖然數(shù)據(jù)卷還在但如果沒有備份習(xí)慣碰到磁盤損壞、誤刪卷或者遷移服務(wù)器損失就是不可逆的。我目前使用的備份策略是每天凌晨用 cron 執(zhí)行數(shù)據(jù)庫邏輯備份備份文件保留 7 天。MySQL 的邏輯備份用容器內(nèi)自帶的命令就能完成docker exec project-mysql mysqldump --single-transaction -u root -p$MYSQL_ROOT_PASSWORD $MYSQL_DATABASE /opt/project/backup/project_$(date \%Y\%m\%d).sql這個命令里的--single-transaction參數(shù)對 InnoDB 表很重要它可以不用鎖表就完成一致性備份避免備份過程中業(yè)務(wù)寫入被阻塞?；謴?fù)時操作正好反過來docker exec -i project-mysql mysql -u root -p$MYSQL_ROOT_PASSWORD $MYSQL_DATABASE /opt/project/backup/project_20250601.sql數(shù)據(jù)卷備份是另一種思路直接把卷目錄打包。先查一下卷對應(yīng)的實(shí)際路徑docker volume inspect project_mysql-data然后把Mountpoint路徑下的整個目錄打包。這個方法適合整庫全量遷移但恢復(fù)時要求目標(biāo)環(huán)境的數(shù)據(jù)目錄結(jié)構(gòu)和權(quán)限一致比較繁瑣。日常備份我更推薦邏輯備份文件可讀性高、體積小、遷移時也靈活。5.4 日志不持久化容器一刪全沒了容器日志默認(rèn)寫在 Docker 的管理空間里但如果容器被刪、或者日志量大到把 Docker 日志文件撐爆日志就會丟失或者影響 Docker 本身運(yùn)行。這是一個需要在部署之初就解決好的問題。在 Compose 文件里可以對日志做限制和持久化services: backend: logging: driver: json-file options: max-size: 50m max-file: 5如果還想把日志落到宿主機(jī)上的固定目錄可以對容器內(nèi)的日志目錄做 bind mount比如volumes: - /opt/project/logs/backend:/app/logs線上排查問題時日志就是救命稻草。沒有日志持久化的容器一旦重啟、重建之前所有的問題線索都會消失這會讓排查線上問題變成一場災(zāi)難。5.5 權(quán)限問題Permission denied 的立體排查權(quán)限問題在 Docker 部署中相當(dāng)常見表現(xiàn)形式五花八門創(chuàng)建文件失敗容器內(nèi)用戶不是 root數(shù)據(jù)卷目錄宿主機(jī)屬主是 root。讀取上傳文件失敗Nginx 用戶沒有權(quán)限讀取掛載目錄里的文件。執(zhí)行命令失敗宿主機(jī)上掛載進(jìn)來的腳本沒有可執(zhí)行權(quán)限。解決思路也簡單要么統(tǒng)一容器內(nèi)用戶和宿主機(jī)目錄屬主讓 uid 對上要么在容器啟動入口處用 root 修改權(quán)限后再切換用戶。我最常用的方式是先確認(rèn)容器內(nèi)運(yùn)行用戶的 uid然后在宿主機(jī)上chown -R uid:gid /opt/project/logs直接解決目錄寫入權(quán)限不一致的問題。# 查看容器內(nèi)當(dāng)前用戶 uid docker exec project-backend id # 輸出結(jié)果類似 uid1000(appuser) gid1000(appgroup)然后在宿主機(jī)上chown -R 1000:1000 /opt/project/logs/backend這樣容器內(nèi)非 root 用戶就能正常寫宿主機(jī)掛載目錄了。很多經(jīng)驗(yàn)不足的同學(xué)在遇到權(quán)限問題時習(xí)慣直接chmod 777這是很危險的做法尤其是數(shù)據(jù)目錄。正確思路是精確匹配 uid/gid。6. 部署完成后我建議你再做這幾件事前面的內(nèi)容講完了從鏡像構(gòu)建到線上運(yùn)行的完整流程最后分享幾個部署完成后最好立即跟進(jìn)的小事它們直接影響后續(xù)的運(yùn)維體驗(yàn)。第一把部署文檔寫下來。哪怕只是幾百字的 README記錄 Compose 文件的用途、每個服務(wù)的端口、.env里有哪些變量、備份命令是什么、回滾流程怎么走。等你過幾個月再碰這個項目這些記錄能幫你節(jié)省的時間遠(yuǎn)超寫它的時間。我自己的習(xí)慣是部署完當(dāng)天就寫 README趁所有細(xì)節(jié)還在腦子里不然后面全靠回憶去猜比重新部署一遍還痛苦。第二設(shè)置日志輪轉(zhuǎn)和磁盤告警。docker 默認(rèn)的日志策略不限制大小一個長期運(yùn)行的服務(wù)日志文件能默默從 GB 漲到 TB。我吃過一次教訓(xùn)某次容器日志文件暴漲直接把磁盤塞滿導(dǎo)致數(shù)據(jù)庫容器寫入失敗、服務(wù)異常。從那以后所有 Compose 文件我都強(qiáng)制帶日志參數(shù)logging: driver: json-file options: max-size: 100m max-file: 3第三定期做恢復(fù)演練。備份從來不是為了“有備份”這個心理安慰而是為了恢復(fù)的時候真的能用上。我建議每個月在測試環(huán)境執(zhí)行一次從零恢復(fù)到完整可訪問的演練就是把備份文件、鏡像、Compose 文件全部重新拉起一遍確認(rèn)流程沒壞。如果自己都沒怎么測過備份恢復(fù)真遇到事故時才發(fā)現(xiàn)備份文件損壞或者恢復(fù)命令不對那就追悔莫及了。第四關(guān)注鏡像和依賴的安全更新?；A(chǔ)鏡像和依賴包的安全漏洞是持續(xù)存在的最好養(yǎng)成定期重建鏡像的習(xí)慣不用等漏洞公告找上門。至少每季度用最新基礎(chǔ)鏡像構(gòu)建一次生產(chǎn)鏡像同時檢查項目依賴是否有已知的高風(fēng)險漏洞。第五把回滾路徑練熟。每發(fā)布一個新版本都應(yīng)該同時明確“如果這個版本出問題我回滾到哪、怎么回滾”。我習(xí)慣在每個版本發(fā)布前隨手寫下一條回滾命令。多數(shù)時候用不上但碰上更新后服務(wù)異常、需要立刻恢復(fù)線上手邊有現(xiàn)成方案和臨時抓瞎是完全兩種狀態(tài)?？傮w來說Docker 部署是一個典型的“把事情做對”的過程。前期花一點(diǎn)時間把鏡像構(gòu)建、Compose 編排、數(shù)據(jù)持久化、日志策略這些基礎(chǔ)打扎實(shí)后續(xù)的上線和維護(hù)都會順暢很多。希望這篇總結(jié)能給你提供一條清晰的路徑參考讓你在部署自己的項目時少踩幾個我曾經(jīng)踩過的坑。