docker本身不提供删除保护开关，防范误删需分层设防：通过保护性label、docker-gc白名单排除、宽限期设置、dry_run预检、权限限制、命名卷与独立网络编排等主动约束机制，在执行前拦截高危操作。

docker 本身不提供“删除保护”这类开关式配置，防范生产环境误删的核心是分层设防+主动约束：用命名规则、标签过滤、排除清单和权限隔离，把高危操作挡在执行前，而不是依赖事后恢复。

给关键容器打上保护标签

启动容器时统一加保护性 label，后续所有清理命令都可跳过它们：

• 运行时添加：docker run --label env=prod --label protected=true nginx
• 清理时排除：docker container prune -f --filter "label!=protected=true"
• 批量停删也可按标签筛选：docker stop $(docker ps -q --filter "label!=env=prod")

用 docker-gc 配置白名单排除机制

docker-gc 是生产环境广泛使用的轻量级清理工具，支持细粒度排除：

Docker Compose Linter

检查 docker-compose.yml 文件的安全问题、最佳实践和端口冲突

下载

• 创建 /etc/docker-gc-exclude-containers，写入需保留的容器名或正则：
  my-db.*
redis-prod
• 设置宽限期（如 7 天），避免刚退出的调试容器被误清：
  GRACE_PERIOD_SECONDS=604800 docker-gc
• 首次启用务必加 DRY_RUN=1 查看将删哪些项，确认无误再执行真实清理

限制用户权限与操作入口

从系统层收窄误操作可能性：

• 生产服务器上，普通运维账号不加入 docker 用户组，只通过预审脚本操作
• 禁用 root 直接执行 docker rm -f 类高危命令，改用封装脚本校验容器名是否含 -prod 或 -db
• CI/CD 流水线中，删除步骤强制要求填写变更单号，并记录到日志：
  echo "$(date) - $USER deleted $CID via pipeline #$PIPELINE_ID" >> /var/log/docker-ops.log

用命名卷 + compose 编排固化生命周期

让资源归属更清晰，降低“顺手删错”的概率：

• 数据库等有状态服务，一律使用命名卷：
  docker volume create pg-data-prod，并在 docker-compose.yml 中显式引用
• 上线用 docker-compose up -d，下线必须用 docker-compose down -v，避免只删容器却留卷
• 为不同环境建独立网络：docker network create myapp-prod-net，清理时按网络名过滤，不波及其他环境