直接调用docker cli比sdk更轻量稳定，因免版本兼容问题、错误信息直观、无需维护api映射；需正确处理stderrpipe、状态解析及资源清理。
为什么不用 Docker SDK 而选 exec.Command 调用 CLI
直接调用 docker 命令比引入 github.com/docker/docker/api/types 等 SDK 更轻量，尤其在只做容器启停、日志查看、镜像列表等基础操作时。SDK 依赖庞大、版本耦合紧（比如 Go 1.21 + Docker 24.x 就可能触发 cannot use client (variable of type *client.Client) as github.com/docker/docker/client.Client value），而 CLI 调用只要宿主机装了 Docker 且用户有 docker 权限就行。
实操建议：
- 始终用
exec.Command("docker", "ps", "-q")这类完整命令调用，避免拼接字符串导致注入风险； - 通过
cmd.Env = append(os.Environ(), "DOCKER_HOST=unix:///var/run/docker.sock")显式指定 socket 路径，防止远程 Docker daemon 配置干扰本地开发； - 对 stderr 做非空判断：如果
err != nil但stderr是 “Error response from daemon: client version 1.43 is too new…” 这类提示，说明是 API 版本不匹配，需降级DOCKER_API_VERSION环境变量。
如何安全地把容器 stdout 流式转发给 Websocket
不能一次性读取全部日志（cmd.Output()），否则大日志会 OOM；也不能直接把 cmd.Stdout 赋给 io.Copy 后扔给 websocket.Conn —— 容器退出时会 panic “use of closed network connection”。
实操建议：
- 用
cmd.StdoutPipe()获取 reader，配合bufio.Scanner按行读取，每行用conn.WriteMessage(websocket.TextMessage, []byte(line))推送； - 启动 goroutine 监听
cmd.Wait()，容器退出后主动关闭 websocket 连接，并发送{"status":"exited","id":"abc123"}类型的消息通知前端； - 务必设置
conn.SetWriteDeadline(time.Now().Add(10 * time.Second))，否则前端断连后服务端 write 会永久阻塞。
容器资源限制参数怎么映射成 Go struct
Docker CLI 的 --memory=512m --cpus=1.5 --pids-limit=1024 对应 Go struct 字段容易写错：比如 Memory 单位是 bytes，不是 MB；CPUQuota 和 CPUPeriod 组合才等于 --cpus，不是直接设 CPUShares。
GoLand 2026.1.1 是 2026.1 发布后的首个维护修正版本，适合已经开始体验 2026.1 新功能并希望同步补丁的开发者。它更适合用于入门项目、现有项目迁移测试和 IDE 行为验证。
实操建议：
- 用
units.FromHumanSize("512m")（来自github.com/docker/go-units）转内存值，别手算 512*1024*1024； -
--cpus=1.5应设为：CPUQuota: 150000,CPUPeriod: 100000（即 150000/100000 = 1.5），不是CPUShares: 1512； -
PidsLimit字段在hostconfig.HostConfig中，但只有 Docker 20.10+ 才支持，旧版会静默忽略，建议先docker info | grep "Kernel Version"检查内核是否 ≥ 4.3。
前端传参校验和后端白名单控制怎么做
用户输入的容器名、镜像名、端口映射（如 -p 0.0.0.0:8080:80/tcp）若不做约束，可能执行 docker run -v /:/host alpine sh -c 'rm -rf /host/etc' 这类危险操作。
实操建议：
- 镜像名只允许字母、数字、下划线、短横线、点号，且必须含
/或:（排除纯本地 tag）；用正则^[a-zA-Z0-9._-]+(?:/[a-zA-Z0-9._-]+)*(?::[a-zA-Z0-9._-]+)?$校验； - 端口映射只放行
-p [0-9]{1,5}:[0-9]{1,5}形式，禁用-p 0.0.0.0:全绑定、-p 65536:超范围端口； - 挂载卷（
-v）必须落在白名单路径下，例如/opt/containers/data，且禁止..路径穿越 —— 用filepath.Clean()后检查前缀是否为白名单根目录。
真正难的不是写完这些逻辑，而是每次新增一个功能（比如 exec 进容器）都要重新过一遍输入解析、参数构造、权限检查这三道关 —— 漏掉任意一环，面板就从管理工具变成攻击跳板。
