要限制 Docker 容器仅本机访问，必须显式使用 -p 127.0.0.1:8080:8080 或 docker-compose.yml 中 ports: ["127.0.0.1:8080:8080"]，避免默认绑定 0.0.0.0；WSL2 环境下需注意宿主机视角差异。
docker run 时用 127.0.0.1:8080:8080 绑定本地回环
默认 docker run -p 8080:8080 会绑定到 0.0.0.0:8080，局域网其他设备也能访问。如果只想本机（localhost 或 127.0.0.1）能连，必须显式指定监听地址为回环接口。
正确写法是：
docker run -d -p 127.0.0.1:8080:8080 nginx:alpine
-
127.0.0.1:8080:8080表示只在宿主机的回环地址上监听，外部 IP（如192.168.1.100）无法建立 TCP 连接 - 这个行为由宿主机的 socket 绑定决定，Docker 本身不额外做 ACL，靠系统级网络栈隔离
- Windows/macOS 上 Docker Desktop 同样生效，但注意：WSL2 环境下，
127.0.0.1指的是 WSL2 虚拟机内部的回环，不是 Windows 主机的；所以该写法在 WSL2 + Docker Desktop 组合中，实际限制的是「WSL2 内部」访问，而非 Windows 主机。真正想锁死 Windows 主机本地访问，仍需用 Windows 主机上的127.0.0.1绑定（即在 Windows 命令行中运行该docker run命令）
docker-compose.yml 中禁止局域网访问的写法
docker-compose.yml 的 ports 字段不支持 0.0.0.0:8080:8080 这种语法，但它支持 127.0.0.1:8080:8080 —— 这才是安全且被正确解析的本地限定方式。
示例配置：
services:
api:
image: myapp:latest
ports:
- "127.0.0.1:3000:3000"
- 该写法等价于
docker run -p 127.0.0.1:3000:3000，Docker Compose 会原样传递给守护进程 - 不要写成
- "3000:3000"，这是默认绑定0.0.0.0，局域网可直连 - 某些旧版 Compose（v1.x）对
127.0.0.1:前缀兼容性略差，建议使用 Compose v2.20+ 或确认docker compose version输出中含v2
验证端口是否真的只绑定了 127.0.0.1
运行容器后，别只信 docker ps 输出的 PORTS 列——它有时会省略 127.0.0.1 显示为 127.0.0.1:3000->3000/tcp，有时又显示成 3000->3000/tcp，不可靠。
真实监听状态得看宿主机的 socket：
- Windows（PowerShell）：
netstat -ano | findstr :3000→ 应看到127.0.0.1:3000，而不是0.0.0.0:3000 - macOS/Linux：
lsof -i :3000或ss -tlnp | grep :3000→ 关注第一列的Local Address，必须是127.0.0.1:3000或localhost:3000 - 如果看到
0.0.0.0:3000，说明绑定失败，大概率是命令写错了，或被 Docker Desktop 的 WSL2 网络代理层绕过
防火墙不是主要防线，但可能干扰验证
Windows 防火墙里有个常见陷阱：即使你绑定了 127.0.0.1，如果「入站规则」里 Docker 相关条目被禁用，localhost 访问也可能失败（尤其在 WSL2 + Docker Desktop 场景下）。
- 打开
wf.msc，检查名为Docker Daemon和Docker Desktop Backend的入站规则是否启用（绿色勾） - 禁用它们不会让局域网变通，但可能让本机
curl http://localhost:3000直接超时——这不是端口绑定问题，而是通信链路被截断 - 反过来，即使防火墙放行了所有流量，只要端口绑定的是
127.0.0.1，局域网设备依然连不上，因为连接请求根本到不了 socket 层
绑定 127.0.0.1 是最轻量、最底层的访问控制方式，比在应用里加 IP 白名单或靠防火墙规则更可靠。但要注意 WSL2 下的宿主机视角差异——你在 Windows 上执行的 docker run 命令，和你在 WSL2 终端里执行的，绑定的「127.0.0.1」不是同一个回环接口。
