/var/run/docker.sock 是 docker 守护进程暴露的本地 unix 域套接字，提供零网络开销、低延迟、高安全性的本地 api 访问通道，依赖文件权限控制，无需 tls 或网络配置，是本地运维最轻量可靠的方式。
/var/run/docker.sock 是 Docker 守护进程（dockerd）暴露的本地 Unix 域套接字，它不是网络端口，而是操作系统级的高效进程间通信通道。所有本地 docker 命令、脚本、CI 工具甚至容器内程序，只要能访问这个文件，就能直接调用 Docker API —— 零网络开销、无 TLS 握手、无需额外认证（依赖文件权限控制），是本地运维最轻量、最可靠的方式。
直接使用 docker CLI 就是在走 socket 通道
Docker 客户端默认不连任何 IP 或端口，而是自动查找并连接 /var/run/docker.sock。你执行 docker ps、docker build 或 docker exec，底层都是通过该 socket 向守护进程发起 HTTP 请求（Docker API 是 RESTful 的）。这意味着：
- 无需配置环境变量，开箱即用
- 响应延迟极低（微秒级），适合高频调用（如监控轮询、自动化构建）
- 不占用网络栈，避免端口冲突或防火墙干扰
在脚本和自动化工具中显式挂载或引用 socket
很多运维场景需要让非 root 用户或容器内的程序也能调用 Docker API，关键在于让目标进程“看到”这个 socket 文件：
- Shell 脚本中可直接使用
curl -s --unix-socket /var/run/docker.sock http://localhost/containers/json发起原生 API 请求 - 在 CI/CD 流水线（如 GitHub Actions、GitLab Runner）中，将 socket 挂载进作业容器：
-v /var/run/docker.sock:/var/run/docker.sock，之后容器内就能运行docker命令 - 编写 Python 脚本时，用
docker-py库默认就会走本地 socket；也可手动指定：client = docker.DockerClient(base_url="unix:///var/run/docker.sock")
权限控制比开放 TCP 端口更简单也更安全
Unix socket 的访问由 Linux 文件权限和用户组决定，而非网络层防火墙：
- 默认 socket 所属组为
docker，只需把用户加入该组：sudo usermod -aG docker $USER，登出重登即可生效 - 不需启用 TLS、不需生成证书、不需管理密钥，避免配置错误导致的安全缺口
- 无法从远程主机访问，天然隔离攻击面——这是它比
tcp://0.0.0.0:2375安全的根本原因
调试与排查：确认 socket 是否就绪
运维中遇到 “Cannot connect to the Docker daemon” 错误，多数源于 socket 不可用。快速验证三步法：
- 检查文件是否存在且可访问：
ls -l /var/run/docker.sock（应显示srw-rw----权限） - 确认守护进程正在运行：
systemctl is-active docker或ps aux | grep dockerd - 测试基础通信：
curl --unix-socket /var/run/docker.sock http://localhost/version，返回 JSON 即通
用好 /var/run/docker.sock，就是用对了 Docker 最原生、最稳定、最高效的本地交互方式。它不炫技，但足够扎实。
