dockerevents是docker守护进程内置的实时事件流机制，支持监听容器全生命周期事件，需通过filter精准过滤、json格式化输出，并用脚本持久消费以实现告警与监控。
DockerEvents 是 Docker 守护进程内置的事件流机制，无需额外安装工具即可实时捕获容器从创建、启动、停止到销毁等全部生命周期事件。关键在于理解事件结构、过滤条件和稳定消费方式。
监听基础：用 docker events 命令抓取实时事件
直接运行以下命令即可开始接收所有容器相关事件：
- docker events --filter type=container —— 只关注容器类事件（排除网络、镜像、卷等干扰）
- docker events --filter type=container --format '{{json .}}' —— 输出结构化 JSON，便于脚本解析
- docker events --since 1h --until 10m —— 回溯历史事件（仅适用于守护进程未重启的情况）
精准过滤：按状态、容器名或标签缩小事件范围
避免全量事件洪流，推荐组合使用 filter 参数：
- --filter event=start 或 --filter event=stop —— 只监听启动/停止动作
- --filter container=my-app —— 指定容器名称或 ID 前缀（支持模糊匹配）
- --filter label=env=prod —— 结合容器启动时设置的 label 过滤（需在 run 时加 -l env=prod）
持久化与告警：将事件接入外部系统
原生命令适合调试，生产环境建议用脚本持续消费并转发：
- 用 Python 或 Bash 启动 docker events 子进程，逐行读取 stdout，解析 JSON 中的 Type、Action、Actor.ID 和 timeNano
- 根据 Action 字段判断事件类型（如 start、die、destroy、oom），触发日志记录或 Prometheus Pushgateway 上报
- 遇到 die 事件时，可调用 docker inspect
--format='{{.State.Status}} {{.State.ExitCode}}' 补充退出原因
注意事项：避免常见陷阱
事件流依赖 Docker 守护进程稳定性，需注意：
- 守护进程重启后，未消费的事件会丢失；docker events 不提供消息队列式的持久订阅
- 事件时间戳是纳秒级字符串，需转换为标准时间（如 Python 中用 datetime.fromtimestamp(int(ts)/1e9)）
- 同一操作可能触发多个事件（例如 docker run 会先后发出 create → start → attach），按 Action 和 Actor.ID 去重或串联
