Docker

核心用法

本技能提供从基础命令到生产级部署的完整 Docker 知识体系，涵盖六大核心模块：

1. 基础命令与镜像构建 - 掌握 docker build/run/exec 等核心命令，遵循最佳实践编写 Dockerfile
2. 多阶段构建优化 - 使用 FROM ... AS builder 模式分离构建环境与运行环境，显著减小镜像体积
3. Compose 编排管理 - 通过 docker-compose.yml 定义多容器应用，管理服务依赖与网络拓扑
4. 网络与存储配置 - 自定义桥接网络实现容器 DNS 解析，合理规划命名卷与绑定挂载
5. 安全加固策略 - 非 root 用户运行、资源限额设置、敏感信息保护、最小权限原则
6. 生产部署模式 - 健康检查、重启策略、日志轮转、CI/CD 集成

显著优点

• 陷阱预警系统：针对 20+ 种常见误区（如 depends_on 不等待服务就绪、匿名卷泄露、构建缓存膨胀）提供明确规避方案
• 安全优先设计：强制非 root 用户、禁用 --privileged、secrets 挂载替代环境变量等硬性规则
• 性能优化导向：RUN 指令合并、层缓存策略、镜像裁剪、资源配额全覆盖
• 调试能力完备：退出码解读（137=OOM/139=segfault）、无 shell 容器排查、死容器文件系统提取

潜在局限

• 需配合 Linux 基础技能处理宿主机层面的权限与网络问题
• 大规模集群场景（K8s/Swarm）超出本技能范围，需额外学习编排平台
• Windows/macOS 用户可能遇到文件系统权限与路径格式的平台差异

适合人群

• 后端开发者：构建一致的开发/测试/生产环境
• DevOps 工程师：优化 CI/CD 流水线镜像构建效率
• 系统管理员：服务器容器化迁移与资源管控
• 技术负责人：制定团队容器安全规范

常规风险

| 风险类型 | 具体表现 | 缓解措施 |

|---------|---------|---------|

| 安全泄露 | 密钥写入镜像层历史、构建参数暴露 | 使用 BuildKit secrets mount |

| 资源耗尽 | 日志膨胀、缓存堆积、僵尸容器 | 配置 log-opt 限制、定期 prune |

| 服务不可用 | OOM 杀进程、依赖启动顺序错误 | 设置 `-m` 内存限制、健康检查条件 |

| 数据丢失 | 匿名卷误删、绑定挂载权限错配 | 强制命名卷、UID/GID 对齐校验 |

核心用法

本 Skill 为纯 Markdown 文档型知识库，提供 Docker 从入门到生产的完整最佳实践。涵盖六大模块：基础命令速查（commands.md）、镜像构建模式（images.md）、Compose 编排（compose.md）、网络与存储基础设施（infrastructure.md）、安全加固（security.md）以及生产部署规范。用户通过对话即可获取针对性指导，无需执行任何 Skill 内嵌代码。

显著优点

• 零执行风险：纯文档结构，无脚本、无依赖、无运行时行为，彻底杜绝代码注入或数据外泄
• 安全导向设计：内置 20+ 条安全规则（镜像版本锁定、非 root 运行、资源限制、密钥管理），主动防御生产事故
• 陷阱清单完备：系统梳理镜像构建、运行时、网络、Compose、Volume 五大类常见陷阱，显著降低调试成本
• 可信来源背书：Claw 官方 Registry 维护，T2 级别可信组织认证

潜在缺点/局限性

• 非交互式工具：仅提供知识指导，不替代实际 Docker CLI 操作
• 需用户自行实践：安全规则需人工落地到 Dockerfile/Compose 文件
• 场景覆盖有限：聚焦通用最佳实践，特定云厂商（AWS ECS、Azure ACI）深度集成需参考其他 Skill

适合人群

• DevOps 工程师、SRE、后端开发者需快速构建生产级容器化方案
• 安全审计人员需对照检查现有 Docker 配置合规性
• 技术团队进行容器化迁移时规避常见陷阱

常规风险

• 误操作风险：用户可能误将示例配置（如 --privileged）用于生产，需仔细阅读安全警告
• 版本漂移：Docker 引擎更新可能导致部分行为变化，建议定期 clawhub sync 同步 Skill