1. 从“安装失败”到“命令精通”：一份写给实干者的Docker全指南

如果你最近正被“Docker Desktop failed to start because virtualisation support wasn’t detected”这类错误弹窗搞得焦头烂额，或者面对一堆docker run参数不知从何下手，那么你来对地方了。我经历过从零部署到大规模生产，踩过的坑比用过的镜像还多。这篇文章不会跟你空谈容器化的伟大意义，而是直接聚焦于两个最实际的问题：如何把Docker稳稳当当地装起来，以及如何高效地使用那些核心命令。无论你是刚入门的新手，还是在部署中卡壳的开发者，这份指南都试图提供“开箱即用”的解决方案和“知其所以然”的原理剖析。

Docker的本质，在我看来，就是一个超级高效、标准化的“软件打包和运输系统”。它把应用及其所有依赖（库、环境变量、配置文件）打包成一个轻量级、可移植的“集装箱”（即镜像），然后在任何安装了Docker引擎的“港口”（主机）上，都能以完全一致的方式快速“卸货”并运行起来（即容器）。这彻底解决了“在我机器上能跑，到你那就崩了”的经典难题。接下来，我会从最棘手的安装问题切入，带你一步步掌握核心命令，最终让你能自信地驾驭容器。

2. 安装攻坚：跨越“虚拟化不支持”的鸿沟

安装Docker，尤其是桌面版，往往是新手的第一道坎。错误信息“Virtualization support not detected”或“WSL not installed”频繁出现，其根源在于Docker Desktop依赖于宿主机的硬件虚拟化技术来创建轻量级的虚拟机运行容器。在Windows和macOS上，这是必须的；在Linux上，由于容器直接与内核交互，则无需此步骤。

2.1 Windows平台安装与故障排查

在Windows上，Docker Desktop默认依赖Hyper-V或WSL 2作为后端。如果你的电脑不支持或未启用硬件虚拟化，就会触发上述错误。

核心解决步骤：

1. 检查并启用BIOS/UEFI虚拟化：这是最根本的一步。重启电脑，进入BIOS/UEFI设置界面（通常按F2、Del、F10等键）。在“Advanced”或“Configuration”选项卡下，找到名为“Intel Virtualization Technology (VT-x)”或“AMD-V”的选项，确保其状态为“Enabled”。保存并退出。

2. 启用Windows功能：在Windows搜索栏输入“启用或关闭Windows功能”，打开对话框。确保以下选项被勾选：

   • Hyper-V： 如果你希望使用Hyper-V后端。
   • Windows Subsystem for Linux和虚拟机平台： 如果你希望使用WSL 2后端（目前更推荐，性能更好、资源占用更少）。

3. 安装并配置WSL 2：如果你选择WSL 2后端（推荐）：

   • 以管理员身份打开PowerShell，运行wsl --install。此命令会默认安装Ubuntu发行版并设置WSL 2。
   • 安装后，运行wsl --set-default-version 2将WSL默认版本设置为2。
   • 你可以通过wsl -l -v查看已安装的发行版及其WSL版本。

4. 安装Docker Desktop：从官网下载Docker Desktop for Windows安装包。安装过程中，安装程序通常会检测并提示你启用必要的Windows功能。安装完成后，重启电脑。

5. 启动与验证：重启后，尝试启动Docker Desktop。如果仍然失败，查看Docker Desktop的故障排查日志（系统托盘图标右键 -> Troubleshoot）。一个常见的后续问题是WSL 2内核更新问题，可以手动下载并安装最新版WSL 2 Linux内核更新包。

注意：某些电脑，特别是某些品牌笔记本，可能存在“虚拟机监控程序”冲突。如果你同时安装了VMware、VirtualBox等，可能需要关闭Windows功能中的“Windows Hypervisor Platform”或“虚拟机平台”，并确保其他虚拟化软件未占用虚拟化资源。这是一个二选一的过程。

2.2 Linux平台安装（以Ubuntu/CentOS为例）

Linux上的安装相对直接，因为容器原生运行在Linux内核上。但不同发行版的包管理器和软件源不同。

对于Ubuntu/Debian系：

# 1. 卸载旧版本（如有） sudo apt-get remove docker docker-engine docker.io containerd runc # 2. 更新apt包索引并安装依赖 sudo apt-get update sudo apt-get install -y apt-transport-https ca-certificates curl software-properties-common # 3. 添加Docker官方GPG密钥 curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /usr/share/keyrings/docker-archive-keyring.gpg # 4. 设置稳定版仓库 echo "deb [arch=$(dpkg --print-architecture) signed-by=/usr/share/keyrings/docker-archive-keyring.gpg] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null # 5. 安装Docker引擎 sudo apt-get update sudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin # 6. 启动Docker并设置开机自启 sudo systemctl start docker sudo systemctl enable docker # 7. 验证安装（非root用户需将自己加入docker组，见下文） sudo docker run hello-world

对于CentOS/RHEL系（以CentOS 7为例）：

# 1. 卸载旧版本 sudo yum remove docker docker-client docker-client-latest docker-common docker-latest docker-latest-logrotate docker-logrotate docker-engine # 2. 安装yum工具包 sudo yum install -y yum-utils # 3. 设置仓库 sudo yum-config-manager --add-repo https://download.docker.com/linux/centos/docker-ce.repo # 4. 安装Docker引擎 sudo yum install -y docker-ce docker-ce-cli containerd.io docker-compose-plugin # 5. 启动并设置开机自启 sudo systemctl start docker sudo systemctl enable docker # 6. 验证安装 sudo docker run hello-world

实操心得：权限问题处理安装后，直接运行docker ps可能会报错“Got permission denied”。这是因为Docker守护进程默认以root用户运行，而普通用户没有访问Unix socket/var/run/docker.sock的权限。永远不要用sudo docker作为日常使用习惯，这有安全风险。正确做法是将当前用户加入docker组：

sudo usermod -aG docker $USER

执行此命令后，必须完全注销并重新登录（或重启终端会话），用户组变更才会生效。之后，你就可以直接使用docker命令了。

3. Docker核心命令全解：从镜像到容器的生命周期管理

安装只是开始，命令才是你与Docker交互的武器。我将按照镜像和容器的生命周期来组织这些命令，并解释关键参数。

3.1 镜像（Image）操作：软件的“模板”

镜像是只读的模板，包含了运行应用所需的文件系统、依赖和配置。

• 拉取镜像：docker pull [OPTIONS] NAME[:TAG|@DIGEST]

  • docker pull nginx：拉取最新的nginx镜像（等价于nginx:latest）。
  • docker pull mysql:8.0：拉取标签为8.0的mysql镜像。
  • 为什么指定标签？latest标签是流动的，指向最新版本。在生产环境中，必须指定具体版本标签（如nginx:1.25-alpine），以确保环境一致性，避免因镜像更新引入不兼容变更。

• 列出镜像：docker images [OPTIONS] [REPOSITORY[:TAG]]

  • docker images：列出所有镜像。
  • docker images nginx：列出所有nginx镜像。

• 删除镜像：docker rmi [OPTIONS] IMAGE [IMAGE...]

  • docker rmi nginx:latest：删除指定标签的镜像。
  • docker rmi $(docker images -q)：危险操作，删除所有镜像。-q参数只输出镜像ID。
  • 注意：如果镜像有容器（即使已停止）在使用，删除会失败。需先删除容器。

• 构建镜像：docker build [OPTIONS] PATH | URL | -

  • 这是Docker的核心功能之一。你需要一个Dockerfile文件来定义构建步骤。
  • docker build -t my-app:1.0 .：使用当前目录下的Dockerfile构建一个名为my-app，标签为1.0的镜像。-t用于打标签，.指定构建上下文路径。

• 推送镜像到仓库：docker push [OPTIONS] NAME[:TAG]

  • 首先需要用docker tag给本地镜像打上符合远程仓库规范的标签，例如docker tag my-app:1.0 myregistry.com/project/my-app:1.0。
  • 然后登录仓库docker login myregistry.com，最后执行docker push myregistry.com/project/my-app:1.0。

3.2 容器（Container）操作：运行的“实例”

容器是镜像的运行实例，是可读写的。

• 运行容器：docker run [OPTIONS] IMAGE [COMMAND] [ARG...]这是最复杂也最常用的命令。关键选项解析：

  • -d：后台运行（detached mode）。
  • -it：交互式运行。-i保持标准输入打开，-t分配一个伪终端。通常一起使用，用于进入容器交互，如docker run -it ubuntu bash。
  • --name：为容器指定一个自定义名称，便于后续管理，如--name my-nginx。
  • -p：端口映射，格式-p [主机端口]:[容器端口]。例如-p 8080:80将主机的8080端口映射到容器的80端口。
  • -v：数据卷挂载，实现主机和容器间数据持久化或共享，格式-v [主机路径]:[容器路径]:[模式]。例如-v /home/data:/app/data:ro将主机目录挂载到容器，并以只读模式。
  • -e：设置环境变量，如-e MYSQL_ROOT_PASSWORD=my-secret-pw。
  • --restart：设置重启策略。no（默认，不重启）、on-failure（非正常退出时重启）、always（总是重启，适合服务）、unless-stopped（总是重启，除非手动停止）。
  • 示例：docker run -d --name my-web -p 80:80 -v /opt/html:/usr/share/nginx/html --restart always nginx:alpine

• 列出容器：docker ps [OPTIONS]

  • docker ps：列出正在运行的容器。
  • docker ps -a：列出所有容器（包括已停止的）。

• 启动/停止/重启容器：

  • docker start [CONTAINER]
  • docker stop [CONTAINER]：发送SIGTERM信号，等待优雅停止（默认10秒），超时后发送SIGKILL强制停止。
  • docker restart [CONTAINER]

• 进入运行中的容器：docker exec [OPTIONS] CONTAINER COMMAND [ARG...]

  • docker exec -it my-nginx /bin/bash：以交互模式进入名为my-nginx的容器，并启动一个bash shell。这是调试和查看容器内部状态的常用方式。

• 查看容器日志：docker logs [OPTIONS] CONTAINER

  • docker logs my-nginx：查看容器的标准输出日志。
  • docker logs -f my-nginx：-f参数类似tail -f，实时跟踪日志输出。
  • docker logs --tail 50 my-nginx：查看最后50行日志。

• 删除容器：docker rm [OPTIONS] CONTAINER [CONTAINER...]

  • docker rm my-nginx：删除已停止的容器。
  • docker rm -f my-nginx：-f强制删除正在运行的容器。
  • docker container prune：交互式删除所有已停止的容器。

3.3 系统与信息查看

• docker version：显示Docker客户端和服务端的版本信息。
• docker info：显示详细的系统范围信息，包括容器和镜像数量、存储驱动、内核版本等。
• docker system df：查看Docker磁盘使用情况，清晰展示镜像、容器、数据卷和构建缓存占用的空间。

4. 实战演练：部署一个完整的Web应用栈

理论说再多，不如动手做一遍。我们来部署一个典型的“Nginx + PHP + MySQL”的博客应用（例如WordPress），这里我们使用更高效的docker-compose方式。docker-compose通过一个YAML文件来定义和管理多容器应用。

步骤 1：创建项目目录和docker-compose.yml文件

mkdir my-wordpress && cd my-wordpress

创建docker-compose.yml文件，内容如下：

version: '3.8' services: db: image: mysql:8.0 container_name: wp-db restart: always environment: MYSQL_ROOT_PASSWORD: some_root_password MYSQL_DATABASE: wordpress MYSQL_USER: wordpress MYSQL_PASSWORD: some_wordpress_password volumes: - db_data:/var/lib/mysql networks: - wp-network wordpress: image: wordpress:latest container_name: wp-app restart: always depends_on: - db environment: WORDPRESS_DB_HOST: db:3306 WORDPRESS_DB_USER: wordpress WORDPRESS_DB_PASSWORD: some_wordpress_password WORDPRESS_DB_NAME: wordpress volumes: - wp_data:/var/www/html ports: - "8080:80" networks: - wp-network volumes: db_data: wp_data: networks: wp-network: driver: bridge

步骤 2：解析核心配置

• services：定义了三个服务（容器）。这里我们简化，只用了db和wordpress。
• image：指定使用的镜像。
• container_name：自定义容器名，方便管理。
• restart: always：确保容器退出后自动重启，保障服务可用性。
• environment：设置容器内的环境变量，这是向应用传递配置（如数据库密码）的标准方式。
• volumes：数据卷挂载。
  • db_data:/var/lib/mysql：将名为db_data的Docker管理卷挂载到MySQL的数据目录，实现数据库数据持久化，即使容器删除，数据仍在。
  • wp_data:/var/www/html：同理，持久化WordPress的网站文件（主题、插件、上传内容）。
• ports："8080:80"将主机的8080端口映射到WordPress容器的80端口。
• depends_on：声明依赖关系，wordpress服务会在db服务启动之后才启动。
• networks：所有服务加入一个自定义的wp-network桥接网络。这使得wordpress容器可以通过服务名db直接访问数据库容器（对应WORDPRESS_DB_HOST: db:3306），无需知道其IP地址，这是Docker网络的核心便利之一。

步骤 3：启动应用栈

在docker-compose.yml文件所在目录，运行：

docker-compose up -d

-d参数表示后台运行。Docker Compose会自动拉取镜像（如果本地没有），创建网络、数据卷，并按依赖顺序启动所有容器。

步骤 4：验证与访问

• 运行docker-compose ps查看服务状态，应看到两个容器都是Up状态。
• 打开浏览器，访问http://localhost:8080，你应该能看到WordPress的著名安装界面。
• 查看日志：docker-compose logs -f wordpress可以实时查看WordPress容器的日志。

步骤 5：停止与清理

• docker-compose down：停止并删除所有容器、网络（默认不删除数据卷）。
• docker-compose down -v：停止并删除所有容器、网络以及在docker-compose.yml中声明的数据卷（警告：这会永久删除数据库和网站文件！）。

通过这个实战，你将docker run的多个参数整合到了一个声明式的YAML文件中，实现了复杂应用的一键部署和管理。这是从单容器向多容器、微服务架构迈进的关键一步。

5. 镜像加速与仓库配置：解决“拉取慢”和“部署快”

默认从Docker Hub拉取镜像，在国内速度可能很慢。配置镜像加速器是必做优化。

5.1 国内镜像加速器配置

对于Docker Desktop (Windows/macOS)： 在任务栏/菜单栏点击Docker图标 ->Settings/Preferences->Docker Engine。在JSON配置中，修改或添加registry-mirrors项。例如，使用阿里云加速器（需登录阿里云容器镜像服务获取专属地址）：

{ "registry-mirrors": [ "https://your-id.mirror.aliyuncs.com" ] }

点击Apply & Restart使配置生效。

对于Linux： 编辑/etc/docker/daemon.json文件（如果不存在则创建）：

{ "registry-mirrors": [ "https://your-id.mirror.aliyuncs.com", "https://hub-mirror.c.163.com", "https://mirror.baidubce.com" ] }

然后重启Docker服务：

sudo systemctl daemon-reload sudo systemctl restart docker

验证配置是否生效：docker info，在输出中查找Registry Mirrors部分。

5.2 使用私有镜像仓库

在企业内部，通常会搭建私有镜像仓库（如Harbor）来存储和管理自己的镜像。

• 登录私有仓库：docker login my-registry.example.com:5000
• 给镜像打标签：docker tag local-image:tag my-registry.example.com:5000/project/local-image:tag
• 推送镜像：docker push my-registry.example.com:5000/project/local-image:tag
• 从私有仓库拉取：docker pull my-registry.example.com:5000/project/local-image:tag

实操心得：镜像标签策略良好的标签策略至关重要。避免只使用latest。建议采用[应用名]-[版本号]-[构建号]或结合Git提交哈希的格式，例如myapp:1.2.3-b123或myapp:1.2.3-abcdefg。这能实现精确的版本追溯和回滚。

6. 高级技巧与生产环境考量

掌握了基础命令和部署后，一些高级技巧和最佳实践能让你走得更稳。

6.1 资源限制与监控

默认情况下，容器可以使用宿主机的所有资源。在生产环境，必须加以限制，防止单个容器耗尽资源影响其他服务。

• 内存限制：docker run -m 512m --memory-swap=1g ...限制容器使用内存为512MB，交换分区为1GB。
• CPU限制：docker run --cpus="1.5" ...限制容器最多使用1.5个CPU核心的计算能力。--cpuset-cpus="0-3"指定容器只能运行在0-3号CPU上。
• 监控命令：
  • docker stats [CONTAINER]：实时查看容器的CPU、内存、网络IO、磁盘IO等资源使用情况。
  • docker top [CONTAINER]：查看容器内运行的进程信息。

6.2 Dockerfile编写最佳实践

镜像是容器的基础，一个高效的Dockerfile能构建出更安全、更小的镜像。

1. 使用多阶段构建：这是减少镜像体积的利器。例如，在第一个阶段使用包含完整编译工具的大镜像来构建应用，在第二个阶段仅复制构建产物到一个极小的运行时镜像（如alpine）中。

   # 第一阶段：构建 FROM golang:1.19 AS builder WORKDIR /app COPY . . RUN go build -o myapp . # 第二阶段：运行 FROM alpine:latest WORKDIR /root/ COPY --from=builder /app/myapp . CMD ["./myapp"]

2. 合理利用构建缓存：Dockerfile的每条指令都会生成一层镜像层。将不经常变动的指令（如安装依赖）放在前面，经常变动的指令（如复制源代码）放在后面，可以最大化利用缓存，加速构建。

3. 使用.dockerignore文件：类似于.gitignore，排除构建上下文（docker build命令中.所指目录）中不需要的文件，避免它们被发送到Docker守护进程，减小构建上下文大小，提高构建速度。

4. 以非root用户运行容器：在Dockerfile中创建并使用非root用户，增强安全性。

   RUN groupadd -r appuser && useradd -r -g appuser appuser USER appuser

6.3 数据管理与备份

数据卷是持久化数据的首选方式。对于重要数据，定期备份是必须的。

• 备份数据卷：最简单的方法是启动一个临时容器，挂载需要备份的数据卷和主机的一个备份目录，然后使用tar或cp命令进行打包复制。

  docker run --rm -v wp_data:/volume -v /host/backup:/backup alpine tar czf /backup/wp_data_backup.tar.gz -C /volume ./

• 使用docker cp命令：在容器和主机之间复制文件/目录，适用于临时操作。docker cp [容器名]:/path/to/file /host/path或反向操作。

6.4 网络模式深入理解

Docker提供了几种网络模式，理解它们对部署复杂应用至关重要。

• bridge（桥接）：默认模式。每个容器获取独立的网络命名空间，并通过一个虚拟网桥docker0与主机通信。容器间可以通过IP或容器名（在用户自定义网络中）通信。
• host（主机）：容器共享宿主机的网络命名空间，直接使用主机IP和端口。性能最好，但端口冲突风险高。
• none（无）：容器有自己的网络命名空间，但不进行任何网络配置。需要手动配置网络。
• container（容器）：新容器共享另一个容器的网络命名空间，两者网络视图完全相同。

创建自定义网络能提供更好的容器发现和隔离：docker network create my-net。然后在运行容器时通过--network my-net加入。

7. 常见问题与故障排查实录

即使按照指南操作，也难免会遇到问题。这里记录了一些高频问题和排查思路。

问题 1：容器启动后立即退出（Exited (0) 或 Exited (非0)）

• 排查思路：
  1. 查看日志：docker logs [容器名/ID]是第一步，通常会输出错误信息。
  2. 检查前台进程：容器内必须有一个长期运行的前台进程。如果Dockerfile的CMD是启动一个脚本，脚本执行完就退出，容器也会退出。确保你的应用是以前台模式运行。
  3. 交互式调试：尝试以交互模式运行docker run -it [镜像] /bin/sh，然后手动执行你的启动命令，观察输出。
  4. 检查端口冲突：docker run时如果提示端口绑定失败，可能是主机端口已被占用。使用netstat -tulpn | grep :端口号或lsof -i :端口号查看占用进程。

问题 2：容器内无法连接外部网络（如 apt-get update 失败）

• 排查思路：
  1. 检查宿主机网络：首先确认宿主机本身可以访问外网。
  2. 检查DNS配置：容器默认使用宿主机的DNS。可以运行docker run --rm alpine cat /etc/resolv.conf查看容器内的DNS服务器。如果不对，可以在运行容器时通过--dns 8.8.8.8指定，或修改Docker守护进程的DNS配置（在/etc/docker/daemon.json中添加"dns": ["8.8.8.8", "114.114.114.114"]并重启docker服务）。

问题 3：docker build构建缓慢或失败

• 排查思路：
  1. 网络问题：构建过程中需要拉取基础镜像或下载依赖。确保网络通畅，并配置了镜像加速器。
  2. 构建上下文过大：检查.dockerignore文件，排除node_modules,.git, 日志文件等不必要的目录。
  3. Dockerfile指令优化：合并多个RUN指令，清理apt缓存等临时文件，以减小镜像层大小。

     # 不佳的做法 RUN apt-get update RUN apt-get install -y package-a RUN apt-get install -y package-b # 更好的做法 RUN apt-get update && apt-get install -y \ package-a \ package-b \ && rm -rf /var/lib/apt/lists/*

问题 4：磁盘空间不足

Docker会占用大量磁盘空间，包括镜像、容器、数据卷和构建缓存。

• 清理命令：
  • docker system prune：交互式删除所有已停止的容器、未被任何容器使用的网络、所有悬空镜像（未被任何标签引用的中间层镜像）和构建缓存。谨慎使用，会清理未使用的资源。
  • docker system prune -a：更激进的清理，额外删除所有未被容器使用的镜像（不仅仅是悬空镜像）。
  • docker volume prune：删除所有未被容器使用的数据卷。
  • 定期检查：养成运行docker system df的习惯，监控磁盘使用情况。

问题 5：在容器内修改文件，但宿主机挂载的目录没变化（或反之）

• 排查思路：
  1. 检查挂载点权限：确保宿主机目录存在，并且Docker进程（或当前用户）有读写权限。在Linux上，SELinux或AppArmor也可能导致权限问题，可以尝试在docker run时添加--privileged参数（仅用于测试，生产环境慎用）或在挂载时使用:z或:Z后缀调整SELinux标签。
  2. 确认挂载成功：进入容器docker exec -it [容器名] sh，查看目标目录下的文件是否与宿主机一致。
  3. 卷驱动问题：极少数情况下，特定的卷驱动可能存在兼容性问题。

驾驭Docker的过程，就是一个不断将抽象概念转化为肌肉记忆的过程。我最深的体会是，不要死记硬背命令，而是理解每个命令和参数背后的意图——它是在操作镜像的生命周期，还是在管理容器的运行时？是在配置网络，还是在处理数据？理解了意图，命令自然就串联起来了。遇到报错，优先看日志；性能瓶颈，先查资源监控；部署复杂了，就上Compose甚至更高级的编排工具。从解决一个具体的“虚拟化不支持”错误开始，到能规划一个多服务的应用架构，这条路上每一个坑都让你对“集装箱化”的思想有更深的理解。现在，你可以试着去Docker Hub找一个你感兴趣的应用镜像，用docker run加上几个参数把它跑起来，这就是最好的开始。