Docker
把自己的应用装进集装箱

公司每一个服务，最后都会变成一个镜像、被集群拉起来跑。 今天你自己走一遍这条路 —— 从写 Dockerfile 到把它推进你自己的仓库。

今天要做出三件可验证的事

术语第一次听没关系：先做出来 → 再回头理解。今天所有命令都在你自己电脑上跑。

本讲五个段落

三个词，先分清

容器不是小虚拟机

所以"轻"的代价是：容器里跑的本质上就是一个被隔离开的普通进程。 隔离开它、限制住它、打包好它 —— 靠的是三样内核能力。

namespace —— 决定它看得见什么

# 容器里看到的进程，只有它自己那一个$ docker run --rm alpine ps auxPID   USER     TIME  COMMAND  1   root     0:00  ps aux # 宿主机上看到的却是完整的一大串

“容器里的 1 号进程”和宿主机的 1 号进程，根本不是同一个东西。

cgroup —— 决定它能用多少

$ docker run --rm --memory=100m python:3.12-slim \    python -c "a='x'*(200*1024*1024)"Killed # 容器被内核杀掉，不是程序自己报错# 排查时先看状态：docker inspect 里的 OOMKilled

分层 —— 镜像为什么改动小、重建快

docker history myapp:v1

docker diff <容器名>

一句话记住容器

镜像名是一段地址

写一个 Dockerfile

# 从哪来
FROM python:3.12-slim
# 工作目录
WORKDIR /app
# 先依赖，后代码（关键顺序）
COPY requirements.txt .
RUN pip install -r requirements.txt
COPY . .
# 启动命令
CMD ["uvicorn","main:app","--host","0.0.0.0","--port","8000"]

构建，然后跑起来

$ docker build -t hello:v1 .[+] Building 12.4s (9/9) FINISHED $ docker run -d -p 8000:8000 --name hello hello:v1$ curl -s localhost:8000/health{"status":"ok"}

出事的时候，靠这四条

推进你自己的仓库

# 1 登录（账号密码课上发放）$ docker login registry.dev.oaiai.ai # 2 给镜像起一个“带仓库地址”的名字$ docker tag hello:v1 registry.dev.oaiai.ai/<你的用户名>/hello:v1 # 3 推上去$ docker push registry.dev.oaiai.ai/<你的用户名>/hello:v1v1: digest: sha256:9f2c… size: 2841

凭据不只在推送时需要

同一个镜像名，会在三处出现

FROM python:3.12-slim

image: postgres:16

image: registry.dev.oaiai.ai/…

"引用"就是把这条链黏起来的东西：代码 → 镜像 → 仓库 → 集群，全靠镜像名对齐。

最划算的一行优化：换个顺序

COPY . .
RUN pip install -r requirements.txt

COPY requirements.txt .
RUN pip install -r requirements.txt
COPY . .

这就是"改一次"的作业要你亲眼看到的东西：看构建输出里那一串 CACHED。

多阶段构建：构建环境不进最终镜像

# 第一阶段：编译前端（需要 node，但产物只要 dist）
FROM node:22-slim AS web-build
RUN npm ci && npm run build

# 第二阶段：运行时只留 python + 编译好的产物
FROM python:3.11-slim
COPY --from=web-build /app/dist ./web/dist

两个新手必踩的坑

docker build --platform linux/amd64 -t hello:v1 .

# .dockerignore
.venv/
node_modules/
.git/

单机 Docker，扛不住生产

这些事，K8s 全都替你干了 —— 下一讲一个痛点一个对象地对上。

每个痛点，K8s 都有个东西接

今天最容易卡住的六个地方

通用三招：看日志 → 看 inspect → 把报错原文丢给 Claude Code。

今天要交的四件事

把集装箱交给码头调度

你会拿到自己的集群账号，把今天推上去的那个镜像，部署到集群里， 挂上属于你自己的域名 <你的用户名>.dev.oaiai.ai —— 然后亲手修一次 ImagePullBackOff。