运行中的 docker 容器无法直接修改端口映射，因 -p 参数仅在创建时生效，docker 无运行时动态添加端口的命令；推荐做法是停止并重建容器，确保配置完整、可复现；临时应急可用 iptables 手动转发，但不持久；commit 后新建容器适用于保留运行时状态场景；直接修改 hostconfig.json 风险高且官方不支持。

运行中的 docker 容器无法直接修改端口映射，因为 -p 参数只在容器创建时生效，docker 不提供 docker port-add 或类似动态命令。端口映射规则一旦写入，就固化在容器的配置和宿主机的 iptables 规则中，运行时不可更改。

推荐做法：停止并重建容器

这是最稳妥、可复现、符合 Docker 设计哲学的方式，适用于绝大多数场景。

• 先获取原容器的完整启动参数，尤其是卷挂载（-v）、环境变量（-e）、网络模式（--network）、重启策略（--restart）等关键配置
• 执行 docker stop <container></container> 和 docker rm <container></container>
• 用 docker run 重新创建容器，新增 -p 新宿主机端口:容器端口，其他配置保持一致
• 若使用 Docker Compose，直接修改 ports 字段后运行 docker-compose up -d 即可热更新（底层仍是重建）

临时应急：用 iptables 手动转发

适合开发调试或紧急开放某个端口，不依赖容器重启，但需手动维护且重启后失效。

Docker Image Puller

使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。

下载

• 查出容器 IP：docker inspect -f '{{.NetworkSettings.IPAddress}}' <container></container>
• 添加 DNAT 规则（以宿主机 8081 → 容器 8080 为例）：
  iptables -t nat -A PREROUTING -p tcp --dport 8081 -j DNAT --to-destination <container_ip>:8080</container_ip>
• 确保 POSTROUTING 链允许转发：iptables -t nat -A POSTROUTING -s <container_ip> -j MASQUERADE</container_ip>
• 如需持久化，保存规则（如 iptables-save > /etc/iptables/rules.v4），否则宿主机重启后丢失

折中方案：commit 后新建容器

当容器内有大量运行时状态（如已安装软件、配置文件改动）不便重装镜像时可用，但会生成冗余镜像。

• 执行 docker stop <container></container>
• 提交为新镜像：docker commit <container> myapp:v2</container>
• 用新镜像启动，并加入新端口：docker run -d -p 9000:9000 --name myapp-new myapp:v2
• 注意：原始容器的 volumes、network 设置不会自动继承，需显式指定

不建议尝试：直接改 hostconfig.json

虽然技术上可行（停 Docker 服务 → 编辑 /var/lib/docker/containers/<id>/hostconfig.json</id> 中的 PortBindings → 重启 Docker），但风险极高：

• Docker 版本升级可能导致配置格式变化，引发解析失败
• 容器元数据与实际 iptables 规则可能不一致，出现端口不通或冲突
• 官方明确不支持，后续维护困难，CI/CD 流程难以标准化