Docker

核心功能与定位

Docker 技能提供从镜像构建到生产部署的全生命周期容器化解决方案，涵盖 Dockerfile 最佳实践、Compose 多服务编排、网络安全配置及安全加固策略。该技能面向需要容器化能力的开发者与运维团队，强调生产可用性与安全性。

显著优势

• 实战陷阱预警：系统梳理镜像层缓存失效、OOM 崩溃、默认 root 权限等高频生产事故，提供直接可执行的规避方案
• 多阶段构建优化：明确指导如何正确利用 --from=builder 减少镜像体积，避免常见复制错误
• 网络与资源管理：深入解析容器 DNS 限制、端口绑定安全、匿名卷泄漏等易忽视的基础设施问题
• 安全优先设计：强制非 root 用户、secrets 挂载替代 ENV、能力最小化原则，符合现代安全合规要求

局限性与注意事项

• 需配合具体应用上下文使用，通用建议可能不适用于特殊场景（如 GPU 容器、Windows 容器）
• 部分高级功能（如 BuildKit secrets、健康检查条件）依赖较新 Docker 版本，旧环境可能不支持
• 安全建议基于标准部署模式，高度定制化环境需额外审计

适用人群

• 微服务架构开发者
• DevOps/SRE 工程师
• 云原生应用迁移团队
• 需要容器安全合规的企业技术负责人

常规风险提示

• 镜像版本未固定（:latest）可能导致不可复现构建
• docker system prune -volumes 误操作会永久删除命名卷数据
• --privileged 标志完全禁用容器隔离，仅在绝对必要时使用

核心用法

本Skill专注于Docker容器化技术的全生命周期管理，从镜像构建到生产部署提供系统性指导。核心功能模块包括：

• Dockerfile最佳实践：强制版本锁定（如python:3.11.5-slim而非python:latest）、多阶段构建优化、层缓存策略（先COPY依赖再COPY代码）
• Docker Compose编排：服务健康检查、depends_on条件等待、多文件组合策略
• 网络与存储：自定义网络DNS解析、端口绑定范围控制（127.0.0.1:5432:5432）、命名卷vs匿名卷管理
• 安全加固：非root用户运行、Secrets挂载替代ENV传密、最小权限原则（避免--privileged）

显著优点

1. 实战经验导向：每个建议均对应真实故障场景（如OOM killer、层缓存失效、DNS解析失败），非空洞理论
2. 陷阱清单全面：覆盖构建、运行时、网络、资源泄漏等8大类高频踩坑点，缩短调试周期
3. 纯文档零风险：无代码执行、无外部依赖、无网络请求，100%可审计安全
4. 即查即用：Quick Reference表格+速查清单设计，适合作为日常开发参考手册

潜在局限

• 无交互生成能力：仅提供指导文档，无法自动生成Dockerfile或验证配置语法
• 版本锁定滞后：Docker生态迭代快，部分最佳实践可能随新版本变化（如docker compose vs docker-compose）
• 云原生覆盖有限：Kubernetes/Docker Swarm生产编排、服务网格等高级场景未深入涉及

适合人群

• 中级开发者：已入门Docker，需系统规避生产陷阱
• DevOps工程师：审查团队镜像规范与部署配置
• 全栈开发者：快速排查容器启动失败、网络连通性问题

常规风险

• 配置误用风险：文档中--privileged等危险参数虽标注警示，但复制粘贴仍可能误用
• 健康检查遗漏：depends_on不等待服务就绪的常见陷阱若未严格执行建议，将导致启动时序故障
• Secrets管理认知：部分开发者可能混淆"运行时env"与"构建时arg"的保密性差异