关键在于可控通信，需选对网络模式（如bridge配host.docker.internal）、理清连接路径（用自定义网络替代默认bridge）、卡死访问权限（数据库白名单精确到子网、密钥不硬编码、强制tls加密）。
要让容器内业务安全、稳定地访问外部数据（比如数据库、API 或云服务），关键不是“打通网络”，而是“可控通信”——既要连得上，又要防得住。核心落在三点：网络模式选对、连接路径理清、访问权限卡死。
选对网络模式，避开默认陷阱
bridge 是默认模式，隔离好但不天然支持宿主机服务直连；host 性能高却牺牲隔离性；macvlan 适合物理网络直通场景。生产环境多数用 bridge，但必须配合正确配置：
- 别依赖 localhost 访问宿主机服务——容器里的 localhost 指自己，不是宿主机
- Linux 环境下用 host.docker.internal:host-gateway 显式映射宿主机地址（Docker Compose 中通过
extra_hosts声明） - 跨主机或云环境，优先走真实 IP 或域名，避免依赖 Docker Desktop 特有 DNS
- 敏感服务（如数据库）不建议用 host 模式暴露，否则容器端口直接绑定宿主机，易被扫描或误配
对外连接必须做白名单控制
容器能连出去 ≠ 外部系统该放行它。数据库、Redis、消息队列等外部服务本身就有访问控制机制，不能只靠 Docker 网络层兜底：
- MySQL 要执行
CREATE USER 'app'@'172.17.0.%' IDENTIFIED BY 'pwd'，把授权范围精确到容器子网，而非'%'（测试可用，生产禁用） - PostgreSQL 的
pg_hba.conf需添加对应 CIDR 段，例如host all all 172.17.0.0/16 md5 - 云数据库（如阿里云 RDS、AWS RDS）要在白名单中填入宿主机公网 IP 或 VPC 内网段，而不是容器 IP（后者不可路由）
- 所有连接串中的密码、密钥绝不硬编码，统一用环境变量或 secrets 注入
用自定义网络替代默认 bridge
默认的 bridge 网络（docker0）不支持容器名解析，也不支持内置网络策略。换成自定义 bridge 后，既能互通又能限流：
- 创建带子网和网关的网络：
docker network create --subnet=10.10.10.0/24 --gateway=10.10.10.1 appnet - 启动容器时指定网络：
docker run --network appnet -e DB_HOST=db --name app myapp - 同网络内容器可直接用服务名（如
db）通信，无需暴露端口或写 IP - 配合
iptables或 CNI 插件（如 Calico）可进一步限制容器出向流量目标端口，例如只允许访问 3306、5432
加密与审计不能少
网络连通只是第一步，传输过程和行为记录同样关键：
- 外部数据库连接强制启用 TLS（MySQL 的
?ssl-mode=REQUIRED，PostgreSQL 的?sslmode=require） - 应用日志中脱敏处理连接信息，避免
DB_URL泄露在错误堆栈里 - 宿主机开启
iptables -t filter -A OUTPUT -m state --state NEW -p tcp --dport 3306 -j LOG --log-prefix "DB-OUT:"记录外连行为 - 定期用
docker network inspect appnet查看容器 IP 分配与连接状态，及时发现异常容器
