docker桥接网络端口映射核心是通过-p参数将容器端口暴露至宿主机，使外部可访问；常用格式为-p host_port:container_port，支持指定ip绑定、多端口/范围映射及tcp/udp协议显式声明。
Docker 桥接网络的端口映射，核心是用 -p 或 --publish 参数把容器内端口暴露到宿主机上，让外部能访问。默认情况下，Docker 使用内置的 bridge 网络（比如 docker0），容器在这个网络里有私有 IP，但不直接对外可见，必须靠端口映射打通。
基础写法：-p 容器端口 → 宿主机端口
最常用的是 -p HOST_PORT:CONTAINER_PORT，例如：
docker run -p 8080:80 nginx
这表示把宿主机的 8080 端口转发给容器内的 80 端口。访问 http://localhost:8080 就能看到 Nginx 页面。
指定绑定地址（限制访问来源）
不想让所有网卡都监听，可以明确写 IP：
- 只允许本地访问：
-p 127.0.0.1:3000:3000 - 只绑定内网网卡：
-p 192.168.1.100:5000:5000
这样更安全，避免意外暴露到公网。
映射多个端口或端口范围
- 多个端口：
-p 8080:80 -p 8443:443 -p 5432:5432 - 连续端口（如调试用）：
-p 3000-3005:3000-3005
注意：范围映射要求两端数量一致，且容器端口必须已由应用监听。
UDP 和 TCP 协议要显式声明
默认是 TCP，如果要用 UDP，得加 /udp：
docker run -p 53:53/udp -p 53:53/tcp bind9
DNS 服务常同时用 TCP 和 UDP 的 53 端口，两者都要映射才完整。
不复杂但容易忽略
