host模式下容器直接共享宿主机网络命名空间，无需-p端口映射；但需显式绑定0.0.0.0（如-listen 0.0.0.0:8080），并确保云安全组、防火墙放行对应端口。
host网络模式下 docker run 不需要 -p 映射端口
使用 --network host 时，容器直接共享宿主机的网络命名空间，所有端口都在宿主机上原样暴露——FrankenPHP 启动后监听的 :8080 或 :80，就是宿主机的 8080 或 80，无需 -p 8080:8080 这类映射。
常见错误是混用：既加了 --network host，又写 -p 8080:8080。Docker 会忽略 -p（并可能报 warning），但容易让人误以为端口没生效。
- 正确命令示例：
docker run --network host dunglas/frankenphp - FrankenPHP 默认监听
:8080，此时直接访问http://localhost:8080即可 - 若想监听
:80，需传参覆盖默认配置：docker run --network host dunglas/frankenphp -- -listen :80
host 模式下 FrankenPHP 的监听地址必须显式绑定 0.0.0.0
FrankenPHP 默认监听 127.0.0.1:8080，这在 host 模式下会导致只有本机（容器内视角的 localhost）能访问，外部请求进不来——因为 127.0.0.1 是 loopback 地址，不响应来自宿主机其他 IP 的连接。
必须通过 -- -listen 0.0.0.0:8080 强制绑定到所有接口：
docker run --network host dunglas/frankenphp -- -listen 0.0.0.0:8080- 若监听
:80，则写-listen 0.0.0.0:80；注意非 root 容器无法绑定:80，需加--user root或改用高权限端口 - 这个
--是关键：它把后续参数透传给 FrankenPHP 二进制，而不是被 Docker 解析
阿里云/腾讯云安全组仍需放行对应端口
host 模式只绕过了 Docker 的端口映射和 NAT 层，**不绕过系统防火墙或云厂商安全组**。宿主机上跑的 FrankenPHP，对外暴露的仍是普通进程端口，必须手动放行。
- 例如监听
:8080，就要在阿里云控制台的安全组中放行8080/tcp - 如果监听
:443，必须同时放行443/tcp，否则 Let's Encrypt ACME 验证失败 - 别漏掉
firewalld或ufw：host 模式下 Docker 不接管 iptables 规则，得自己加规则，比如firewall-cmd --add-port=8080/tcp --permanent
为什么有人用 host 模式还连不上？常见卡点
host 模式看似简单，但实际踩坑集中在三处：FrankenPHP 绑定地址、云平台端口策略、以及 Caddyfile 中的协议判断逻辑。
- FrankenPHP 默认
127.0.0.1绑定 → 外部请求被拒绝，必须加-listen 0.0.0.0:x - Caddyfile 写了
https://example.com块但没开 HTTP 端口 → CDN 回源或直连 HTTP 请求直接 400，需补http://example.com { ... }块 - 用了 CDN 且未硬编码
X-Forwarded-Proto→ Laravel 生成 http:// 链接，前端报混合内容，必须配header_up X-Forwarded-Proto "https"并启用TrustProxies
真正要调的不是 Docker 参数，而是 FrankenPHP 的监听行为、Caddy 的路由头传递、以及云平台的网络策略三层配合。少一层，服务就不可达。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
