Docker 容器运行在隔离的网络命名空间中，每个容器拥有独立的 IP 地址和网络堆栈。默认情况下，容器可以与同一主机上的其他容器或主机通信，但外部网络（例如主机外部的客户端或设备）无法直接访问容器内部的服务。端口映射通过将主机上的端口与容器内的端口绑定，打破这一隔离，使容器服务对外可见。
「主机端口」：主机上用于接收外部请求的端口。「容器端口」：容器内部服务监听的端口。「映射关系」：通过 Docker 的 -p 标志或 Docker Compose 的 ports 指令，将主机端口与容器端口关联。假设你运行了两个 Nginx 容器，均监听容器内的 80 端口。通过端口映射，你可以将它们分别映射到主机的 8080 和 8090 端口。这样，外部用户可以通过 http://localhost:8080 和 http://localhost:8090 访问不同的 Nginx 服务，避免端口冲突。
何时需要端口映射？端口映射适用于多种场景，以下是常见的使用情况：
「开发与调试」：在本地开发时，开发者需要通过 localhost 访问容器中的 Web 应用或 API。例如，将 Node.js 应用的 3000 端口映射到主机的 3000 端口。
「测试环境」：在 CI/CD 管道中，测试工具需要访问容器化的服务（如数据库或 API 端点）。
「生产部署」：生产环境中，服务（如 Web 服务器、数据库）需要对外暴露以供客户端访问。例如，将 MySQL 的 3306 端口映射到主机端口。
「多容器协作」：在微服务架构中，多个容器可能需要通过特定端口通信，端口映射确保外部服务能够访问这些容器。
「特殊协议支持」：对于使用 UDP 协议的服务（如 DNS 或流媒体），需要映射 UDP 端口。
「集群或动态服务」：当服务需要动态分配多个端口（例如分布式系统），端口范围映射可以简化配置。
「注意」：端口映射不仅仅是为了外部访问。在安全性要求高的场景中，你可能需要限制映射到特定 IP 或仅用于内部网络通信。
如何在 Docker 中映射端口？Docker 提供了多种方式来实现端口映射，以下是通过 docker run 命令和 Docker Compose 的详细操作指南。
1. 使用 docker run 进行端口映射docker run 命令通过 --publish（或简写 -p）标志实现端口映射。以下是常见用法：
基本端口映射将主机端口映射到容器端口。
「命令」：
docker run -d -p 8080:80 nginx-d：后台运行容器。-p 8080:80：将主机的 8080 端口映射到容器的 80 端口。「效果」：通过 http://localhost:8080 访问 Nginx 网页。映射所有暴露端口如果 Dockerfile 使用了 EXPOSE 指令声明了端口，可以使用 --publish-all（或 -P）自动映射所有暴露的端口到随机主机端口。
「命令」：
docker run -d -P nginx「效果」：Docker 随机分配主机端口（例如 32768）并映射到容器内的暴露端口。「查看映射」：docker ps输出示例：
CONTAINER ID IMAGE ... PORTSabcd1234 nginx ... 0.0.0.0:32768->80/tcp映射多个端口当服务需要监听多个端口（如 HTTP 和 HTTPS），可以多次使用 -p。
「命令」：
docker run -d -p 8080:80 -p 8443:443 nginx「效果」：主机 8080 映射到容器 80（HTTP），8443 映射到容器 443（HTTPS）。「绑定特定 IP 地址」限制端口映射到主机的特定 IP 地址，增强安全性。
「命令」：
docker run -d -p 192.168.1.100:8080:80 nginx「效果」：仅通过 http://192.168.1.100:8080 访问 Nginx，其他 IP 无法访问。端口范围映射映射一系列端口，适用于需要多个端口的集群服务。
「命令」：
docker run -d -p 5000-5100:5000-5100 nginx「效果」：主机端口 5000–5100 映射到容器端口 5000–5100。使用不同主机和容器端口避免端口冲突或满足特定需求时，可以映射不同的端口号。
「命令」：
docker run -d -p 8081:80 nginx「效果」：容器内 80 端口映射到主机 8081 端口，访问 http://localhost:8081。映射 UDP 端口对于使用 UDP 协议的服务（如 DNS），需明确指定 /udp。
「命令」：
docker run -d -p 53:53/udp ubuntu/bind9「效果」：主机 UDP 53 端口映射到容器 UDP 53 端口，适用于 DNS 查询。2. 使用 Docker Compose 进行端口映射Docker Compose 通过 docker-compose.yml 文件简化多容器应用的端口配置。以下是常见配置示例。
基本端口映射在 ports 指令中指定主机和容器端口。
「示例」：
version: '3.8'services: web: image: nginx:latest ports: - "8080:80"「运行」： docker-compose up -d「效果」：主机 8080 端口映射到容器 80 端口。仅暴露端口（内部通信）使用 expose 指令使端口仅对同一 Docker 网络中的容器可见，不对外开放。
「示例」：
version: '3.8'services: app: image: myapp expose: - "3000"「效果」：端口 3000 可被同一网络中的其他容器访问，但主机无法直接访问。映射多个端口支持多个端口映射，适合复杂服务。
「示例」：
version: '3.8'services: web: image: nginx:latest ports: - "8080:80" - "8443:443"「效果」：支持 HTTP 和 HTTPS 访问。绑定特定 IP限制端口绑定到特定 IP 地址。
「示例」：
version: '3.8'services: web: image: nginx:latest ports: - "192.168.1.100:8080:80"「效果」：仅 192.168.1.100:8080 可访问。短语法与长语法Docker Compose 支持两种端口配置语法：
「短语法」："8080:80"「长语法」：更灵活，支持协议指定。「示例」：
version: '3.8'services: web: image: nginx:latest ports: - target: 80 published: 8080 protocol: tcp mode: host「效果」：明确指定协议（tcp）和映射模式（host）。端口映射与暴露的区别端口映射和暴露是 Docker 网络中两个相关但不同的概念：
「端口映射」（-p 或 ports）： 将容器端口转发到主机端口，允许外部访问。 示例：-p 8080:80 使容器 80 端口通过主机 8080 端口对外可见。「暴露」（EXPOSE 或 expose）： 仅声明容器使用的端口，供同一 Docker 网络中的其他容器访问。 不创建主机端口映射，外部无法直接访问。 示例：在 Dockerfile 中 EXPOSE 3000 或 Docker Compose 中 expose: ["3000"]。「实际案例」：假设你运行一个 Node.js 应用（监听 3000 端口）和一个前端服务（监听 80 端口）：
使用 expose: ["3000"] 让前端容器访问 Node.js 应用。使用 ports: ["8080:80"] 让前端服务通过主机 8080 端口对外开放。验证与排查端口映射配置端口映射后，验证其正确性至关重要。以下是常用命令：
「查看容器端口映射」：docker ps输出示例：
CONTAINER ID IMAGE ... PORTSabcd1234 nginx ... 0.0.0.0:8080->80/tcp「列出容器端口详情」：docker port <container_id>输出示例：
80/tcp -> 0.0.0.0:8080「检查容器配置」：docker inspect <container_id> | grep -i "HostPort"输出示例：
"HostPort": "8080"「测试连接」：使用 curl 或浏览器访问映射端口：
curl http://localhost:8080「网络诊断」：检查主机端口是否被占用：
netstat -tuln | grep 8080如果端口被占用，需更换主机端口或释放端口。
常见问题「端口冲突」：Error: Bind for 0.0.0.0:8080 failed: port is already allocated。
「解决」：更换主机端口或释放占用端口：
kill $(lsof -t -i :8080)「无法访问服务」：映射端口后无法通过 localhost 访问。
「解决」：
确认容器运行：docker ps。检查防火墙规则：ufw status。验证服务监听端口：docker exec <container_id> netstat -tuln。「随机端口分配」：使用 -P 导致端口不可预测。
「解决」：显式指定端口映射（-p）。
