核心用法
该 Skill 定位为 Docker 全生命周期管理专家，覆盖镜像构建、编排部署、网络配置、安全加固与故障排查五大领域。主要功能模块包括：
镜像构建优化：强调 Dockerfile 最佳实践，如合并 apt-get update && install 避免层缓存失效、固定基础镜像版本而非使用 latest 标签、善用多阶段构建减少攻击面。关键技巧包括调整 COPY 与 RUN 顺序以最大化缓存利用率。
运行时与资源管理：针对生产环境高频问题提供防御性配置，包括设置日志驱动大小限制防止磁盘耗尽、强制内存限制避免 OOM 杀容器、默认非 root 用户运行以满足安全合规、正确处理容器内外 localhost 差异。
网络与编排：详解 Docker Compose 进阶模式，指出 depends_on 仅等待容器启动而非服务就绪，推荐配合 condition: service_healthy 实现可靠启动顺序；解析自定义网络与默认 bridge 的 DNS 差异、端口绑定作用域控制等网络陷阱。
安全加固体系：系统梳理敏感信息泄露风险——ENV/COPY 会将凭证永久写入镜像层历史，建议使用 BuildKit secrets 挂载或运行时注入；警示 --privileged 标志的安全危害，倡导最小权限原则；强调镜像供应链验证的重要性。
故障诊断与调试：建立退出码映射知识库（137=OOM/139=段错误），提供无 shell 容器（如 distroless）的文件系统检查方案，以及利用 docker inspect 和 docker logs 的调试流程。
显著优点
- 生产导向：聚焦真实场景的陷阱与解决方案，而非基础命令罗列
- 安全优先：将 secrets 管理、权限控制、供应链验证整合为核心章节
- 性能意识：强调缓存策略、层优化、资源清理对运维效率的影响
潜在局限
- 平台边界：主要针对 Linux 容器运行时，Windows 容器特定差异覆盖有限
- 编排深度：Compose 为主，Kubernetes 原生模式未深入展开
- 版本漂移：部分最佳实践（如
docker-composev1 对比 v2）需用户自行确认适用性
适合人群
后端工程师、DevOps/SRE 从业者、平台架构师，以及需要将应用容器化并投入生产环境的技术团队。
常规风险
- 误用
--privileged或 root 用户运行导致容器逃逸风险 - 镜像层泄露敏感信息造成凭证暴露
- 资源限制配置不当引发级联故障或数据丢失
- 匿名卷与停止容器数据残留导致磁盘耗尽与信息泄露