docker run --rm可使容器退出后自动销毁其元数据、可写层和网络端点，但不删除镜像、命名卷或宿主机挂载路径；适用于ci/cd测试、工具验证、一次性脚本及安全敏感操作，但不可与-d共用，且不清理匿名卷。
直接在 docker run 命令中加上 --rm 即可让容器退出后自动销毁，包括其元数据、可写层和网络端点，但不触碰镜像、命名卷或宿主机挂载路径——这才是真正“物理不留痕”的关键。
什么时候必须用 --rm
适合所有生命周期明确、无需事后检查的临时场景：
- CI/CD 流水线中的单元测试、代码扫描、构建打包
- 本地快速验证工具行为（比如
curl调接口、jq解析 JSON） - 一次性脚本执行：日志抽样、配置语法校验、数据库迁移命令
- 安全敏感操作：如密钥解密、证书签发，避免残留文件或进程痕迹
--rm 的硬性约束和常见误区
它不是万能开关，用错反而报错或失效：
- 不能和
-d（后台运行）共存：因为--rm依赖前台主进程退出信号，-d会让容器脱离终端并保持“已停止”状态 - 不清理匿名卷：如果命令里用了
-v /tmp这类未命名挂载，退出后卷仍存在，需额外加--volumes或手动docker volume prune - 无法补加：容器一旦启动，就不能再给它“打上--rm标签”，只能停掉重跑
- 不等于删镜像：镜像缓存、构建中间层、拉取的 layers 全部保留，只清容器实例本身
典型安全干净用法示例
每条命令执行完，docker ps -a 都搜不到对应记录：
- 校验 Nginx 配置是否合法：
docker run --rm -v $(pwd)/nginx.conf:/etc/nginx/nginx.conf nginx:alpine nginx -t - 格式化当前项目代码：
docker run --rm -v $(pwd):/src -w /src node:18 npx prettier --write . - 导出 MySQL 表结构（不落地容器内）：
docker run --rm -e MYSQL_HOST=host.docker.internal -e MYSQL_USER=root -e MYSQL_PASSWORD=123 mysql:8.0 mysqldump -h$MYSQL_HOST -u$MYSQL_USER -p$MYSQL_PASSWORD --no-data mydb users > users.sql
替代方案：当 --rm 不能用时怎么收尾
比如你必须后台运行某个短期任务，或已有大量 Exited 容器堆积：
- 定时清理已退出容器：
docker rm $(docker ps -aq -f status=exited) 2>/dev/null || true - 配合卷清理（谨慎）：
docker system prune -f --volumes（会删所有未被使用的卷） - 写封装脚本：先
docker run -d启动，用docker wait阻塞监听退出，再docker rm - Docker Compose 中设
auto_remove: true（v2.2+ 支持，仅限单次运行服务）
