Docker

核心用法

该 Skill 定位为 Docker 全生命周期管理专家，覆盖镜像构建、编排部署、网络配置、安全加固与故障排查五大领域。主要功能模块包括：

镜像构建优化：强调 Dockerfile 最佳实践，如合并 apt-get update && install 避免层缓存失效、固定基础镜像版本而非使用 latest 标签、善用多阶段构建减少攻击面。关键技巧包括调整 COPY 与 RUN 顺序以最大化缓存利用率。

运行时与资源管理：针对生产环境高频问题提供防御性配置，包括设置日志驱动大小限制防止磁盘耗尽、强制内存限制避免 OOM 杀容器、默认非 root 用户运行以满足安全合规、正确处理容器内外 localhost 差异。

网络与编排：详解 Docker Compose 进阶模式，指出 depends_on 仅等待容器启动而非服务就绪，推荐配合 condition: service_healthy 实现可靠启动顺序；解析自定义网络与默认 bridge 的 DNS 差异、端口绑定作用域控制等网络陷阱。

安全加固体系：系统梳理敏感信息泄露风险——ENV/COPY 会将凭证永久写入镜像层历史，建议使用 BuildKit secrets 挂载或运行时注入；警示 --privileged 标志的安全危害，倡导最小权限原则；强调镜像供应链验证的重要性。

故障诊断与调试：建立退出码映射知识库（137=OOM/139=段错误），提供无 shell 容器（如 distroless）的文件系统检查方案，以及利用 docker inspect 和 docker logs 的调试流程。

显著优点

• 生产导向：聚焦真实场景的陷阱与解决方案，而非基础命令罗列
• 安全优先：将 secrets 管理、权限控制、供应链验证整合为核心章节
• 性能意识：强调缓存策略、层优化、资源清理对运维效率的影响

潜在局限

• 平台边界：主要针对 Linux 容器运行时，Windows 容器特定差异覆盖有限
• 编排深度：Compose 为主，Kubernetes 原生模式未深入展开
• 版本漂移：部分最佳实践（如 docker-compose v1 对比 v2）需用户自行确认适用性

适合人群

后端工程师、DevOps/SRE 从业者、平台架构师，以及需要将应用容器化并投入生产环境的技术团队。

常规风险

• 误用 --privileged 或 root 用户运行导致容器逃逸风险
• 镜像层泄露敏感信息造成凭证暴露
• 资源限制配置不当引发级联故障或数据丢失
• 匿名卷与停止容器数据残留导致磁盘耗尽与信息泄露

核心用法

本Skill是一套纯文档型的Docker专业知识库，专注于容器化应用的构建、编排与安全部署。内容覆盖六大核心模块：Dockerfile最佳实践（多阶段构建、层缓存优化、版本锁定）、Docker Compose编排模式（服务依赖、健康检查、环境变量管理）、网络与存储配置（自定义网络、命名卷、绑定挂载权限）、安全加固（非root运行、secrets管理、capabilities精简）、资源管控（内存限制、日志轮转、清理策略）以及故障排查（退出码解读、无shell调试、死容器取证）。

显著优点

1. 陷阱导向的实用设计：不同于泛泛的概念介绍，文档以"Image Building Traps""Runtime Crashes"等故障场景组织内容，直击生产环境中的高频踩坑点，学习转化率极高。
2. 安全优先的防御性编程：强制强调USER nonroot、拒绝--privileged、secrets挂载替代ENV等实践，与CIS Docker Benchmark对齐。
3. 性能优化细节丰富：涵盖层缓存失效规则、多阶段构建常见错误、构建缓存清理等进阶话题，对CI/CD场景尤为实用。
4. 零依赖零攻击面：纯Markdown文档型Skill（T-MD分类），无可执行代码、无外部API调用、无敏感信息泄露，安全评分94分，达到S级认证。

潜在缺点与局限性

1. 来源可信度限制：T3级别来源（个人开发者/社区项目），未关联明确GitHub仓库，内容权威性弱于官方Docker文档，建议交叉验证关键命令。
2. 许可证缺失：未声明开源许可证，使用和分发存在法律不确定性。
3. 静态内容的时效性：Docker生态演进迅速（如BuildKit新特性、Compose Specification v3+），文档可能滞后于最新版本特性。
4. 无交互式诊断：纯文本参考，无法根据用户实际错误输出自动匹配解决方案。

适合人群

• DevOps/SRE工程师：需要快速排查容器启动失败、OOM崩溃、网络不可达等生产故障
• 后端开发者：希望编写安全高效的Dockerfile，避免镜像膨胀和缓存失效
• 云原生新手：系统学习容器化常见陷阱，建立防御性部署思维
• 安全审计人员：对照检查现有容器化实践的安全合规性

常规风险

1. 命令验证义务：T3来源意味着内容未经官方背书，直接复制粘贴到生产环境前应验证语法兼容性。
2. 平台差异忽略：部分网络行为（如host.docker.internal解析）在不同Docker版本和操作系统存在差异。
3. 过度依赖风险：文档未覆盖Kubernetes等编排层知识，大规模集群场景需补充学习。