最简单可控的方式是直接用 docker 命令行；go 本质是调用 docker http api 或 exec shell，需防注入、捕获错误、正确绑定端口（0.0.0.0）、处理权限与 api 版本。
直接用 docker 命令行调用是最简单、最可控的方式；用 Go 写代码去管理容器，本质是调用 Docker daemon 的 HTTP API 或 exec shell 命令——别指望 Go 语言“内置 Docker 支持”，它只是个客户端。
用 os/exec 调 docker run 最快上手
适合 CI 脚本、本地调试、一次性任务。关键不是“能不能跑”，而是错误是否被真正捕获和处理。
-
cmd.CombinedOutput()必须检查返回的err；docker run失败时 exit code 非零，但 Go 不自动 panic - 端口、镜像名、容器名等参数必须显式构造
cmd.Args，禁止字符串拼接（防 shell 注入）：用[]string{"docker", "run", "-p", "8080:80", "--name", "myapp", "nginx:alpine"} - 加
-d后命令立即返回容器 ID，需用strings.TrimSpace(string(out))提取，别直接当字符串打印 - 若依赖本地构建的镜像，确保
docker build已成功执行，否则docker run报No such image
用 github.com/docker/docker/client 对接 API 才算生产级
绕过 shell、支持超时、复用连接、可嵌入服务。前提是 Docker daemon 已启用（默认监听 unix:///var/run/docker.sock）。
- 初始化 client 必须传
client.WithAPIVersionNegotiation()或显式指定 version（如"1.41"），版本不匹配会报 400 或字段为空 -
ImagePull时，types.ImagePullOptions{All: true}才能拉多层镜像；不设可能因缺 base layer 失败 -
HostConfig.PortBindings的 key 是"80/tcp"，不是"80"；写错会导致端口没绑定、服务不可达 -
ContainerCreate只创建，状态是created；必须再调ContainerStart才真正运行
Go Web 服务在容器里启动失败？先查监听地址
本地能跑的 http.ListenAndServe(":8080", nil)，进容器就访问超时——90% 是因为绑定了 127.0.0.1:8080，而容器网络隔离，外部根本连不上。
- 必须改成
http.ListenAndServe("0.0.0.0:8080", nil) - 更稳妥做法是用
net.Listen("tcp", ":8080")+http.Serve()，便于后续加 TLS、超时、日志中间件 - 端口建议从环境变量读：
os.Getenv("PORT")fallback 到"8080"，方便部署时注入 - 健康检查（
HEALTHCHECK）需手动实现/healthzhandler，Go 标准库不提供开箱即用的 endpoint
最容易被忽略的是：Docker daemon 权限问题（尤其是 Linux 上非 root 用户访问 /var/run/docker.sock）、API 版本漂移、以及容器内服务绑定地址错误——这三处出问题，现象都是“容器起来没报错，但就是连不上”。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
