Docker 数据持久化与常见故障排查

容器可写层不适合保存重要数据。容器被删除或重建时，业务数据应仍然存在于卷、绑定挂载或外部存储中。

卷与绑定挂载#

命名卷：

1
docker volume create app-data
2
docker run --rm -v app-data:/data alpine sh -c 'date > /data/created-at'
3
docker run --rm -v app-data:/data alpine cat /data/created-at

绑定挂载：

1
docker run --rm -v "$PWD/config:/app/config:ro" alpine ls -la /app/config

命名卷由 Docker 管理，适合数据库和应用持久化数据。
绑定挂载直接映射宿主机路径，适合配置、源码和明确需要宿主机管理的文件。
配置文件尽量使用只读挂载 :ro。

备份命名卷#

1
docker run --rm \
2
  -v app-data:/source:ro \
3
  -v "$PWD/backups:/backup" \
4
  alpine tar -czf /backup/app-data.tar.gz -C /source .

恢复前先停止写入该卷的服务，并验证备份文件可读取。

容器反复退出#

1
docker ps -a
2
docker logs --tail 200 container-name
3
docker inspect container-name --format '{{.State.Status}} {{.State.ExitCode}} {{.State.Error}}'

常见退出码：

0：主进程正常结束，可能是启动命令本来就不是长期进程。
1：应用通用错误，应查看日志。
126：命令存在但不可执行，常见于权限问题。
127：命令不存在或 PATH 不正确。
137：常见于被 SIGKILL 终止，包括内存不足。

检查 OOM：

1
docker inspect container-name --format '{{.State.OOMKilled}}'
2
dmesg -T | grep -i -E 'out of memory|killed process'

端口无法访问#

1
docker port container-name
2
docker inspect container-name --format '{{json .NetworkSettings.Ports}}'
3
ss -lntp
4
curl -v http://127.0.0.1:8080

确认四件事：

应用在容器内实际监听目标端口；
应用监听 0.0.0.0，而不是只监听容器内 127.0.0.1；
-p 或 Compose 的端口映射正确；
宿主机防火墙和云安全组允许访问。

容器之间无法连接#

1
docker network ls
2
docker network inspect network-name
3
docker exec app getent hosts db
4
docker exec app sh -c 'nc -vz db 5432'

同一 Compose 项目的服务通常通过服务名互相解析。不要把其他容器地址写成 localhost。

权限问题#

宿主机目录的 UID/GID 与容器内用户可能不同：

1
docker exec container-name id
2
ls -ln mounted-directory

优先让容器以明确 UID/GID 运行，并设置宿主机目录所有者。避免用 chmod 777 解决数据库目录或密钥文件权限。

空间占用#

1
docker system df -v
2
docker container ls -a
3
docker image ls
4
docker volume ls

清理前逐项确认：

1
docker container prune
2
docker image prune
3
docker builder prune

不要在不清楚卷用途时执行 docker volume prune。

标准排障流程#

docker ps -a 确认状态和退出时间。
docker logs 查看应用错误。
docker inspect 检查命令、环境、挂载、网络和退出码。
docker exec 在容器内验证进程、DNS、端口和文件权限。
检查宿主机内存、磁盘、防火墙和内核日志。
修复 Dockerfile 或 Compose 配置，不依赖手工修改运行中的容器。

开发动态