docker run本质是启动镜像的可运行实例，触发镜像拉取、命名空间隔离、cgroups资源限制、网络存储挂载及进程执行等内核级操作。
启动一个 docker 容器，本质是让镜像“活起来”——它不是简单地执行一条命令，而是触发一整套内核级隔离与资源调度机制。真正理解 docker run，关键在于看清它背后做了什么：拉取镜像（如未本地存在）、创建可写层、分配命名空间、限制 cgroups、挂载网络和存储，并最终运行你指定的进程。
docker run 命令的核心参数逻辑
一条典型命令如 docker run -d -p 8080:80 --name my-web nginx:alpine，每个参数都对应一项底层操作：
- -d：让容器在后台运行，实际是 fork 出子进程后立即 detach，由 dockerd 持续托管其生命周期
- -p 8080:80：Docker 在宿主机上开启端口监听，并通过 iptables 或 nftables 将流量转发到容器内部的 netns 中；注意 80 是容器内进程监听的端口，必须与应用实际绑定端口一致
-
--name my-web：为容器指定唯一标识名，便于后续用
docker ps或docker logs my-web管理，不设则由 Docker 自动分配随机名 -
nginx:alpine：若本地无此镜像，Docker 会自动向默认 registry（通常是 Docker Hub）发起 pull 请求；镜像名中的
:alpine标签决定了使用哪一层基础文件系统
容器启动时的镜像分层与读写分离
Docker 镜像是只读的多层堆叠结构，而容器启动时会在最顶层动态添加一个可写层（Container Layer）。所有运行时产生的文件修改（如日志写入、临时文件生成、配置覆盖）都发生在此层，不影响下层镜像。这意味着：
- 多次
docker run启动同一镜像，各自拥有独立可写层，互不干扰 - 删除容器（
docker rm）仅清除该可写层，镜像本身不受影响，可反复用于新建容器 - 若需持久化数据（如数据库文件），必须显式使用
-v挂载宿主机目录或命名卷，否则容器停止后数据即丢失
如何编写稳定可靠的启动命令
生产环境启动不能只图快，要兼顾可观测性、健壮性和可维护性。推荐组合使用以下参数：
- --restart=unless-stopped：确保容器意外退出后自动重启，但手动 stop 后不再拉起，适合长期服务
-
-e KEY=VALUE：注入环境变量，比硬编码进镜像更灵活，例如
-e TZ=Asia/Shanghai设置时区 - --memory=512m --cpus=1.0：限制资源，防止单个容器吃光宿主机内存或 CPU
- --log-driver=json-file --log-opt max-size=10m --log-opt max-file=3：控制日志大小，避免磁盘被日志撑爆
- --network=my-network：指定自定义网络，而非默认 bridge，便于容器间通过服务名通信
常见启动失败原因与排查思路
容器一闪而逝（Exited immediately）是最常见问题，本质是主进程退出。排查应从输出和状态入手：
- 去掉
-d，直接前台运行：docker run nginx:alpine，看终端是否打印错误（如端口被占、配置语法错） - 用
docker logs <container-id></container-id>查看标准输出/错误日志，这是第一手线索 - 用
docker inspect <container-id></container-id>查看State.Status和State.ExitCode，非 0 码对应具体失败类型（如 127 表示找不到命令，137 表示被 OOM kill） - 确认镜像 ENTRYPOINT/CMD 是否正确：运行
docker inspect nginx:alpine | jq '.[0].Config.Cmd'查看默认启动命令
