端口映射不通的根本原因在于规则未对齐：docker port和inspect验证映射是否生效，容器内服务须监听0.0.0.0而非127.0.0.1，宿主机防火墙、iptables dnat规则及云安全组需放行，且宿主机端口不能被其他进程占用。
端口映射不通，不是 docker 有 bug，而是它在严格按规则工作——只是你没对上它的规则。真正卡住人的从来不是“怎么写 -p”，而是“为什么写了却没用”。下面从底层逻辑到实操步骤，把最常踩的坑一次性理清楚。
确认端口映射是否真的生效
别只看 docker ps 的 Ports 列。那行文字只是 Docker 的“声明”，不代表 iptables 规则已写入、也不代表服务真在监听。必须验证两件事：
- 运行 docker port ，输出应为类似 80/tcp -> 0.0.0.0:8080。如果为空或报错“No public port '80/tcp' published for...”，说明 -p 参数根本没生效，检查命令是否漏写、compose.yml 中 ports 是否缩进错误或写在了错误层级
- 执行 docker inspect ，搜索 "Ports" 和 "HostConfig.PortBindings"，确认目标端口（如 "8080/tcp"）确实被绑定到了 "0.0.0.0"，而非 "127.0.0.1" 或空字符串
检查容器内服务是否监听正确地址
很多服务默认只绑 127.0.0.1，这在容器里等于“只给自己听”，宿主机流量根本进不来。这不是 Docker 的问题，是应用配置问题。
- Nginx：检查配置中 listen 指令，确保不是 listen 127.0.0.1:80，而应是 listen 80 或 listen 0.0.0.0:80
- Node.js/Python Flask/FastAPI：启动时显式指定 host='0.0.0.0'，例如 app.run(host='0.0.0.0', port=8000)
- 验证方式：进入容器 docker exec -it sh，然后运行 netstat -tlnp | grep :80，看到的是 *:80 或 0.0.0.0:80 才算对；若显示 127.0.0.1:80，服务就对外不可达
排查宿主机层面的拦截环节
即使 Docker 内部一切正常，流量在到达容器前仍可能被拦下。重点查三处：
- 系统防火墙：Ubuntu/Debian 用 sudo ufw status verbose，CentOS/RHEL 用 sudo firewall-cmd --list-ports。若 8080 未列出，需手动放行，如 sudo ufw allow 8080
- Docker 自身 iptables 规则：运行 sudo iptables -t nat -L DOCKER -n -v，查找是否有类似 DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:8080 to:172.17.0.2:80 的条目。没有？说明 Docker 守护进程可能被禁用了 iptables 管理（检查 /etc/docker/daemon.json 中是否含 "iptables": false）
- 云服务器安全组：阿里云、腾讯云等平台的安全组默认拒绝所有入向流量。必须手动添加规则，允许 TCP 协议、目标端口（如 8080）的入站访问
识别并绕过端口冲突
宿主机端口是全局资源，被占了就不能重复用。常见冲突源包括：
- 另一个 Docker 容器已占用该端口：用 docker ps --format "table {{.Names}}\t{{.Ports}}" | grep 8080 快速定位
- 宿主机本地进程（如本机装的 MySQL、Nginx）正在监听：运行 sudo lsof -i :8080 或 sudo netstat -tulnp | grep :8080
- 解决办法很直接：要么停掉冲突进程，要么换一个宿主机端口重新运行容器，例如把 -p 8080:80 改成 -p 8081:80
