Docker：容器化

为什么需要 Docker：环境不一致 → 镜像一致

传统部署方式下，同一个 Python 程序在开发机、测试服务器、GPU 训练机上经常表现不一致：系统库版本不同、CUDA 驱动缺失、Redis 或数据库版本差异，配置环境的成本往往以“天”为单位。重复搭建环境还容易产生文档与实际不一致、依赖漂移等问题，尤其在 AI 项目中，PyTorch/TensorFlow、cuDNN、Python 版本组合复杂，任意一环不匹配都会导致推理或训练无法运行。

Docker 的解决思路是把环境本身变成制品：通过 Dockerfile 定义基础镜像、系统依赖、Python 包和应用代码，构建成不可变的镜像文件。镜像在任意安装了 Docker 的机器上启动的容器行为一致，不再依赖宿主机上预装什么软件。这种“镜像即环境”的方式同时带来两个收益：一是复用，Linux 基础镜像和预装 CUDA 的镜像可以由团队共享；二是回滚，镜像版本可对应代码版本，问题可快速还原。

与同类工具相比，Docker 的优势不在底层技术独特性，而在开发者体验：它的 CLI、Compose、Docker Hub 生态已经变成容器世界的通用接口。Podman 可以无守护进程地兼容大部分 Docker 命令，containerd 则更底层地面向 Kubernetes 平台，两者各有定位，但 Docker 始终是上手最快、资料最全的选择。

安装与环境配置：3 步就绪

Docker 分 Docker Desktop（Windows/macOS 图形化）和 Docker Engine（Linux 命令行）两条安装路径。AI 服务器通常是 Linux，以下以 Ubuntu 安装 Docker Engine 为例。安装完成后需要将当前用户加入 docker 组，避免每次执行 sudo；随后用 hello-world 镜像验证引擎可正常运行。

Windows/macOS 用户直接下载安装 Docker Desktop，启动后用同一套 Docker CLI 命令操作。国内网络环境可在 Docker Desktop 设置或 /etc/docker/daemon.json 中配置镜像加速器，以降低拉取镜像的失败率。

# 1. 安装 Docker Engine（Ubuntu 22.04/24.04）sudo apt-get updatesudo apt-get install -y ca-certificates curlsudo install -m 0755 -d /etc/apt/keyringscurl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo tee /etc/apt/keyrings/docker.asc > /dev/nullsudo chmod a+r /etc/apt/keyrings/docker.ascecho "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/nullsudo apt-get updatesudo apt-get install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin # 2. 允许非 root 用户执行 dockersudo usermod -aG docker $USERnewgrp docker # 3. 验证安装docker run --rm hello-worlddocker version --format '{{.Server.Version}}'

快速上手：5 分钟跑通 Python API 容器

最小可用流程是：写一个 Dockerfile → 构建镜像 → 运行容器 → 用 curl 验证。我们以一个 Flask 应用为例，Dockerfile 使用 python:3.12-slim 基础镜像，复制 requirements 并安装依赖，最终启动应用。整个过程不需要安装 Python 环境，只要机器上有 Docker。

验证输出符合预期后，可以把镜像推送到 Docker Hub 或私有仓库：先用 docker tag my-api:1.0 yourhub/my-api:1.0 打标签，再执行 docker push yourhub/my-api:1.0。进阶技巧：在训练或推理场景中直接使用官方 GPU 基础镜像，例如 nvidia/cuda:12.4.1-cudnn-devel-ubuntu22.04，配合 NVIDIA Container Toolkit 即可在容器内使用 GPU。

# 项目结构：app.py、requirements.txt、Dockerfile 位于同一目录# DockerfileFROM python:3.12-slimWORKDIR /appCOPY requirements.txt .RUN pip install --no-cache-dir -r requirements.txtCOPY app.py .EXPOSE 8000CMD ["python", "app.py"] # requirements.txtflask==3.0.3 # app.pyfrom flask import Flaskapp = Flask(__name__) @app.get("/")def home():    return {"message": "docker ok"} if __name__ == "__main__":    app.run(host="0.0.0.0", port=8000)

# 在项目目录执行docker build -t my-api:1.0 .docker run -d --name my-api -p 8000:8000 my-api:1.0curl http://localhost:8000   # 输出 {"message":"docker ok"}

核心能力详解：4 大支柱

支柱一：镜像系统与分层存储。 镜像由多个只读层叠加而成，每一条 Dockerfile 指令生成一层。构建时命中缓存的层不会重复生成，多个镜像可共享相同的基础层，从而显著减少磁盘占用和镜像拉取流量。理解分层的实际意义在于：调整依赖顺序时缓存失效会导致全量重建，所以 Dockerfile 应把变化慢的指令写在前面，把应用代码放在最后。

支柱二：容器隔离与运行时。 Docker 使用 Linux 内核的 namespaces（命名空间）隔离进程视图，用 cgroups（控制组）限制 CPU、内存和 I/O 资源。真正的容器执行由底层的 containerd 和 runc 完成，Docker 守护进程负责镜像管理和 API 调度。这种分层设计让容器比虚拟机少一层内核，因此启动速度更快、单机密度更高，但隔离边界也弱于硬件虚拟化。

支柱三：网络与数据卷。 Docker 默认提供 bridge（桥接）、host（宿主机共享）、overlay（跨主机）三种网络模式。日常使用中，-p 8080:80 就是把容器 80 端口映射到宿主机 8080 端口。容器内写入的数据在容器删除后会丢失，必须通过 volume（卷）或 bind mount（宿主机目录挂载）持久化，数据库、模型权重、日志目录都应放在卷中。

支柱四：Docker Compose 多容器编排。 Compose 用 YAML 声明多个服务、网络、卷和依赖关系，一条 docker compose up -d 就能启动整套环境。对 AI 应用来说，可以用 Compose 同时拉起向量数据库、Redis、模型 API 三个服务，开发和测试环境使用同一份配置文件，避免“在我机器上能跑”的问题。

生产部署与监控：从上线到运维

部署方式一：单机容器化部署。 通过 docker run 的资源限制参数控制容器占用：--memory=4g --cpus=2 防止单容器耗尽宿主机资源；--restart=unless-stopped 让守护进程在容器崩溃后自动拉起。生产容器不应在前台交互运行，保持 --detach 后台模式，并在应用内对外暴露健康检查端口。

部署方式二：Compose 多服务部署。 将 API、数据库、缓存等写入 docker-compose.yml，通过 restart: always、healthcheck、depends_on 配置依赖关系与健康状态。需要横向扩容时，容器编排应迁移到 Kubernetes——K8s 可以直接使用 containerd 作为运行时，Docker 构建的镜像无需改动即可部署，因此 Docker 常被视为通往云原生平台的“第一步”。

可观测性。 单机场景用 docker stats 查看实时资源占用，用 docker logs --tail 100 <container> 查看应用日志。生产集群则通过 cAdvisor 或 Prometheus 采集容器指标，日志收集到 ELK 或 Loki。Docker 的 JSON-file 日志驱动会占用磁盘，应在 daemon.json 中设置 max-size 与 max-file，或者切换为 fluentd/splunk 等远程日志驱动。

<p class="para-label">避坑清单：</p>

<ul class="dash-list"><li>不要在未配置 .dockerignore 时直接构建：构建上下文会把 node_modules、.git、数据集等大文件一起发送到引擎，导致镜像膨胀、缓存失效，应显式排除无关文件。</li><li>不要以 root 身份运行容器进程：默认容器内是 root，但生产镜像应创建普通用户并设置 USER 指令，避免容器被攻破后获得宿主机同权限风险。</li><li>不要暴露 Docker socket：把 /var/run/docker.sock 挂载给容器等于把宿主机管理权交给容器，常见于误写 CI 配置，出现后应立即隔离。</li></ul>

版本迭代

Docker 从早期一体化守护进程演化为“客户端 + containerd + runc + BuildKit”的模块化架构，主线是更快的构建、更小的镜像、更安全的 rootless 模式和更强的云原生兼容性。以下版本列表截至训练数据（2024 年中），截至 2026-05-07 可能已有更高版本发布。

AI 应用场景

常见误区

面试题