Docker 容器化部署完全指南

# ── 官方一键安装脚本（适用于 Ubuntu / Debian / CentOS）────────────────────
# 自动检测发行版并安装最新稳定版 Docker Engine + Docker Compose 插件
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh

# 启动并设置开机自启
sudo systemctl enable --now docker

# 验证安装
docker --version          # 应输出：Docker version 27.x.x
docker compose version    # 应输出：Docker Compose version v2.x.x

# ── 可选：允许普通用户运行 Docker（无需每次 sudo）──────────────────────────
# 将当前用户加入 docker 组，重新登录后生效
sudo usermod -aG docker $USER
newgrp docker              # 临时生效，或重新 SSH 登录

# ════════════════════════════════════════════════════════════
#  数据持久化：两种挂载方式对比
# ════════════════════════════════════════════════════════════

# ── ❌ 错误做法（容器删除 = 数据消失）────────────────────────────────────────
docker run -d --name mysql_bad   -e MYSQL_ROOT_PASSWORD=secret   mysql:8.0
# 执行 docker rm mysql_bad 后，数据库数据完全丢失！

# ── ✅ 方式一：Bind Mount（绑定宿主机目录）推荐用于开发和生产 ────────────────
# 格式：-v 宿主机绝对路径:容器内路径
docker run -d --name mysql_good   -v /opt/mysql/data:/var/lib/mysql       # 数据目录映射
  -v /opt/mysql/conf:/etc/mysql/conf.d   # 配置目录映射
  -e MYSQL_ROOT_PASSWORD=secret   -p 127.0.0.1:3306:3306                # 只绑定本地，不对外暴露
  --restart unless-stopped              # 意外崩溃自动重启
  mysql:8.0

# ── ✅ 方式二：Named Volume（命名卷）推荐用于数据库等需要高 I/O 的场景 ─────
# Docker 管理存储位置（在 /var/lib/docker/volumes/ 下），性能略优于 Bind Mount
docker volume create mysql_data
docker run -d --name mysql_vol   -v mysql_data:/var/lib/mysql   -e MYSQL_ROOT_PASSWORD=secret   mysql:8.0

# 查看所有命名卷
docker volume ls
# 查看卷详情（包含宿主机实际路径）
docker volume inspect mysql_data

# ════════════════════════════════════════════════════════════
#  Docker 网络模式详解
# ════════════════════════════════════════════════════════════

# ── 默认：bridge 模式（最常用）──────────────────────────────────────────────
# 每个容器分配独立虚拟 IP（172.17.0.x），通过 docker0 网桥与宿主机通信
# 容器间通信需要通过 IP 或 --link（已废弃，推荐自定义网络）
docker run -d --name app1 --network bridge nginx

# ── 自定义 bridge 网络（推荐！容器间可直接用服务名通信）────────────────────
docker network create myapp_net

docker run -d --name web   --network myapp_net nginx
docker run -d --name db    --network myapp_net mysql:8.0

# 在 web 容器内可直接 ping db（用容器名作为 DNS）
# docker exec web ping db   → 可以 ping 通

# ── host 模式（高性能，容器直接使用宿主机网络）───────────────────────────────
# 容器不再有独立 IP，直接监听宿主机端口
# 性能最好，但失去网络隔离，端口冲突风险高
docker run -d --name fast_app --network host nginx
# 注意：host 模式下不需要 -p 端口映射，容器直接使用宿主机 80 端口

# ── none 模式（完全隔离网络，适合数据处理任务）───────────────────────────────
docker run -d --name isolated --network none alpine sleep 3600

# 网络管理常用命令
docker network ls                        # 列出所有网络
docker network inspect myapp_net         # 查看网络详情
docker network connect myapp_net app1    # 将已有容器加入网络

# 文件路径：/opt/myapp/docker-compose.yml
# 最基础的 Nginx + PHP-FPM 组合示例

services:
  web:
    image: nginx:alpine           # 使用轻量级 alpine 版本
    container_name: myapp_nginx
    restart: unless-stopped       # 除非手动停止，否则崩溃或开机自动重启
    ports:
      - "80:80"                   # 宿主机端口:容器端口
      - "443:443"
    volumes:
      - ./nginx/conf:/etc/nginx/conf.d    # Nginx 配置目录
      - ./html:/var/www/html              # 网站文件目录
      - ./logs/nginx:/var/log/nginx       # 日志目录（方便在宿主机查看）
    networks:
      - app_net
    depends_on:
      - php                       # 确保 php 服务先启动

  php:
    image: php:8.3-fpm-alpine
    container_name: myapp_php
    restart: unless-stopped
    volumes:
      - ./html:/var/www/html      # 与 Nginx 挂载相同目录（共享网站文件）
    networks:
      - app_net

# 自定义网络（容器间用服务名通信，如 nginx 配置中 fastcgi_pass php:9000）
networks:
  app_net:
    driver: bridge

# 文件路径：/opt/lemp/docker-compose.yml
# 完整 LEMP 栈：Linux + Nginx + MySQL + PHP-FPM + Redis

services:

  # ── Nginx 反向代理 ─────────────────────────────────────────────────────────
  nginx:
    image: nginx:alpine
    container_name: lemp_nginx
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d
      - ./www:/var/www/html
      - ./nginx/ssl:/etc/nginx/ssl
    networks:
      - lemp_net
    depends_on:
      - php
      - mysql

  # ── PHP-FPM ────────────────────────────────────────────────────────────────
  php:
    image: php:8.3-fpm-alpine
    container_name: lemp_php
    restart: unless-stopped
    volumes:
      - ./www:/var/www/html       # 与 Nginx 共享网站目录
    environment:
      - PHP_MEMORY_LIMIT=256M
    networks:
      - lemp_net

  # ── MySQL 8 ────────────────────────────────────────────────────────────────
  mysql:
    image: mysql:8.0
    container_name: lemp_mysql
    restart: unless-stopped
    environment:
      MYSQL_ROOT_PASSWORD: ${MYSQL_ROOT_PASSWORD}   # 从 .env 文件读取密码
      MYSQL_DATABASE:      ${MYSQL_DATABASE}
      MYSQL_USER:          ${MYSQL_USER}
      MYSQL_PASSWORD:      ${MYSQL_PASSWORD}
    volumes:
      - mysql_data:/var/lib/mysql                    # 使用命名卷保存数据
    networks:
      - lemp_net
    # 不对外暴露端口，只在内部网络访问（安全！）

  # ── Redis 缓存 ──────────────────────────────────────────────────────────────
  redis:
    image: redis:7-alpine
    container_name: lemp_redis
    restart: unless-stopped
    command: redis-server --requirepass ${REDIS_PASSWORD}  # 启用密码认证
    volumes:
      - redis_data:/data
    networks:
      - lemp_net

# ── 命名卷（Docker 管理，高 I/O 性能）──────────────────────────────────────
volumes:
  mysql_data:
  redis_data:

# ── 自定义内部网络 ────────────────────────────────────────────────────────────
networks:
  lemp_net:
    driver: bridge

# 文件路径：/opt/lemp/.env
# 敏感配置统一放在 .env 文件，不提交到 Git（在 .gitignore 中添加 .env）

MYSQL_ROOT_PASSWORD=强密码_至少16位
MYSQL_DATABASE=myapp_db
MYSQL_USER=myapp_user
MYSQL_PASSWORD=另一个强密码

REDIS_PASSWORD=Redis访问密码

# 启动命令：
# cd /opt/lemp && docker compose up -d
# 查看所有服务状态：
# docker compose ps

# 文件路径：/opt/myapp/Dockerfile
# 示例：为 Node.js 应用构建生产镜像（多阶段构建，减小最终镜像体积）

# ════ 阶段一：构建（Builder Stage）════════════════════════════════════════════
FROM node:20-alpine AS builder
WORKDIR /app

# 先复制 package.json，利用 Docker 层缓存（依赖不变时跳过 npm install）
COPY package*.json ./
RUN npm ci --only=production

# 再复制源码并构建
COPY . .
RUN npm run build

# ════ 阶段二：生产镜像（只包含运行时必需文件）══════════════════════════════════
FROM node:20-alpine AS production
WORKDIR /app

# 创建非 root 用户运行应用（安全最佳实践）
RUN addgroup -S appgroup && adduser -S appuser -G appgroup

# 只从 builder 阶段复制构建产物
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
COPY package.json .

# 设置文件所有权
RUN chown -R appuser:appgroup /app
USER appuser

# 暴露端口（文档说明，不实际发布）
EXPOSE 3000

# 健康检查
HEALTHCHECK --interval=30s --timeout=3s --retries=3   CMD wget -qO- http://localhost:3000/health || exit 1

CMD ["node", "dist/server.js"]

# 在 Dockerfile 所在目录执行构建
docker build -t myapp:v1.0 .

# 打标签（为推送到 Docker Hub 或私有仓库做准备）
docker tag myapp:v1.0 yourusername/myapp:v1.0
docker tag myapp:v1.0 yourusername/myapp:latest

# 推送到 Docker Hub（需要先 docker login）
docker push yourusername/myapp:v1.0

# 查看镜像层信息（了解每层的大小，优化 Dockerfile）
docker history myapp:v1.0

# ── 方案一（推荐）：全局配置，对所有新容器生效 ─────────────────────────────
# 编辑或创建 /etc/docker/daemon.json

# 配置内容（JSON 格式）：
# {
#   "log-driver": "json-file",
#   "log-opts": {
#     "max-size": "20m",
#     "max-file": "3"
#   }
# }

# 含义：每个容器日志文件最大 20MB，最多保留 3 个滚动文件
# 即最多占用 60MB 磁盘空间（20MB × 3）

# 保存后重启 Docker 守护进程（仅对新创建的容器生效）
sudo systemctl restart docker

# ── 方案二：在 docker-compose.yml 中单独配置特定服务 ─────────────────────────
# services:
#   web:
#     image: nginx
#     logging:
#       driver: json-file
#       options:
#         max-size: "50m"    # 高流量服务可以设大一些
#         max-file: "5"

# ── 查看当前容器日志占用空间 ─────────────────────────────────────────────────
# 查看所有容器日志总大小
du -sh /var/lib/docker/containers/*/*-json.log 2>/dev/null | sort -rh | head -10

# 手动清空某个容器的日志（不停服务）
truncate -s 0 /var/lib/docker/containers/容器ID/容器ID-json.log

# ── Watchtower：自动监控并更新所有 Docker 容器 ────────────────────────────
docker run -d   --name watchtower   --restart always   -v /var/run/docker.sock:/var/run/docker.sock   # 需要 socket 权限来管理其他容器
  containrrr/watchtower   --cleanup                     # 更新后自动删除旧镜像，释放磁盘
  --schedule "0 3 * * *"         # Cron 格式：每天凌晨 3 点检查更新

# ── 进阶：只更新特定容器（打标签）──────────────────────────────────────────
# 在需要自动更新的容器上加 label：
# docker run -d --label=com.centurylinklabs.watchtower.enable=true --name app nginx

# 然后以 --label-enable 模式运行 Watchtower（只更新打了标签的容器）
# docker run -d --name watchtower #   -v /var/run/docker.sock:/var/run/docker.sock #   containrrr/watchtower --label-enable --cleanup

# ── 查看 Watchtower 的更新日志 ────────────────────────────────────────────
docker logs -f watchtower