필사 모드: Docker 与 Podman 命令完全指南：把容器运维的一切整理在一页之内

┌─────────────────────────────────────────────────────────────────┐
│                     Docker Architecture                         │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  ┌──────────┐    REST API     ┌──────────────────┐             │
│  │  Docker   │───────────────▶│   Docker Daemon   │             │
│  │   CLI     │  /var/run/     │    (dockerd)      │             │
│  │          │  docker.sock    │                    │             │
│  └──────────┘                 │  ┌──────────────┐ │             │
│                               │  │  containerd   │ │             │
│                               │  │              │ │             │
│                               │  │  ┌────────┐ │ │             │
│                               │  │  │  runc   │ │ │             │
│                               │  │  │ (OCI)   │ │ │             │
│                               │  │  └────┬───┘ │ │             │
│                               │  └───────┼─────┘ │             │
│                               └──────────┼───────┘             │
│                                          │                      │
│                    ┌─────────────────────┼──────────────────┐   │
│                    │    Container 1      │  Container 2      │   │
│                    │    (process)        │  (process)        │   │
│                    └─────────────────────┴──────────────────┘   │
│                                                                 │
│  ⚠ dockerd 挂掉则所有容器无法管理 (SPOF)                       │
│  ⚠ 访问 docker.sock = 可获得 root 权限                          │
└─────────────────────────────────────────────────────────────────┘

┌─────────────────────────────────────────────────────────────────┐
│                     Podman Architecture                         │
├─────────────────────────────────────────────────────────────────┤
│                                                                 │
│  ┌──────────┐  direct fork-exec   ┌──────────┐                │
│  │  Podman   │────────────────────▶│  conmon   │                │
│  │   CLI     │   (no daemon!)      │(container │                │
│  │          │                      │ monitor)  │                │
│  └──────────┘                      └─────┬────┘                │
│                                          │                      │
│                                    ┌─────▼────┐                │
│                                    │   crun    │                │
│                                    │  (OCI     │                │
│                                    │ runtime)  │                │
│                                    └─────┬────┘                │
│                                          │                      │
│                    ┌─────────────────────┼──────────────────┐   │
│                    │    Container 1      │  Container 2      │   │
│                    │    (child proc)     │  (child proc)     │   │
│                    └─────────────────────┴──────────────────┘   │
│                                                                 │
│  ✅ 无守护进程 → 无 SPOF                                        │
│  ✅ 每个容器都是独立进程 → 易于与 systemd 集成                  │
│  ✅ 默认支持 Rootless                                            │
└─────────────────────────────────────────────────────────────────┘

# 移除已有的 Docker 软件包
sudo apt-get remove docker docker-engine docker.io containerd runc

# 安装必需软件包
sudo apt-get update
sudo apt-get install -y ca-certificates curl gnupg lsb-release

# 添加 Docker 官方 GPG 密钥
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | \
  sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
sudo chmod a+r /etc/apt/keyrings/docker.gpg

# 添加 Docker 软件源
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] \
  https://download.docker.com/linux/ubuntu \
  $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | \
  sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

# 安装 Docker Engine
sudo apt-get update
sudo apt-get install -y docker-ce docker-ce-cli containerd.io \
  docker-buildx-plugin docker-compose-plugin

# 把当前用户加入 docker 组（需要重新登录）
sudo usermod -aG docker $USER

# 启动服务并设置开机自启
sudo systemctl start docker
sudo systemctl enable docker

# 确认安装
docker version
docker run hello-world

# 移除已有软件包
sudo yum remove -y docker docker-client docker-client-latest \
  docker-common docker-latest docker-latest-logrotate \
  docker-logrotate docker-engine

# 添加 Docker 软件源
sudo yum install -y yum-utils
sudo yum-config-manager --add-repo \
  https://download.docker.com/linux/centos/docker-ce.repo

# 安装 Docker Engine
sudo yum install -y docker-ce docker-ce-cli containerd.io \
  docker-buildx-plugin docker-compose-plugin

# 启动服务
sudo systemctl start docker
sudo systemctl enable docker

# 添加用户组
sudo usermod -aG docker $USER

# 通过 Homebrew 安装
brew install --cask docker

# 或者从 Docker Desktop 官网下载 .dmg
# https://www.docker.com/products/docker-desktop/

# 安装后启动 Docker Desktop 应用 → Docker Engine 自动启动
docker version

# Ubuntu 22.04+ 的默认软件源中已包含
sudo apt-get update
sudo apt-get install -y podman

# 需要最新版本时 (Ubuntu)
sudo mkdir -p /etc/apt/keyrings
curl -fsSL "https://download.opensuse.org/repositories/devel:kubic:libcontainers:unstable/xUbuntu_$(lsb_release -rs)/Release.key" \
  | gpg --dearmor \
  | sudo tee /etc/apt/keyrings/devel_kubic_libcontainers_unstable.gpg > /dev/null
echo \
  "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/devel_kubic_libcontainers_unstable.gpg] \
  https://download.opensuse.org/repositories/devel:kubic:libcontainers:unstable/xUbuntu_$(lsb_release -rs)/ /" \
  | sudo tee /etc/apt/sources.list.d/devel:kubic:libcontainers:unstable.list > /dev/null
sudo apt-get update
sudo apt-get install -y podman

# 确认安装
podman version
podman info

# RHEL 8+ / CentOS Stream 8+ 默认已包含
sudo dnf install -y podman

# 安装附加工具
sudo dnf install -y buildah skopeo podman-compose

# Podman 没有守护进程，因此不需要 systemctl start！
podman version

# 通过 Homebrew 安装
brew install podman

# 初始化 Podman Machine（创建 Linux VM）
podman machine init

# 启动 Machine
podman machine start

# 确认安装
podman version
podman machine list

# 停止 Machine
podman machine stop

# 删除 Machine
podman machine rm

# 添加到 shell 配置文件 (~/.bashrc 或 ~/.zshrc)
alias docker=podman
alias docker-compose=podman-compose

# 立即生效
source ~/.bashrc  # 或 source ~/.zshrc

# RHEL/CentOS 提供 podman-docker 软件包
sudo dnf install -y podman-docker
# 该软件包会创建 /usr/bin/docker → /usr/bin/podman 的符号链接
# 同时也包含 docker.sock 的模拟

# 在 Docker Hub 上搜索镜像
docker search nginx
podman search nginx

# 限制结果数量
docker search --limit 5 nginx
podman search --limit 5 nginx

# 只搜索官方镜像 (Docker)
docker search --filter is-official=true nginx

# Podman 会同时搜索多个registry（取决于 registries.conf 的配置）
# /etc/containers/registries.conf
# unqualified-search-registries = ["docker.io", "quay.io", "ghcr.io"]
podman search --list-tags docker.io/library/nginx

# 下载默认镜像
docker pull nginx
podman pull nginx

# 指定特定标签
docker pull nginx:1.25-alpine
podman pull nginx:1.25-alpine

# 从特定registry拉取
docker pull ghcr.io/myorg/myapp:latest
podman pull quay.io/prometheus/prometheus:latest

# 指定特定平台（架构）
docker pull --platform linux/arm64 nginx:latest
podman pull --platform linux/arm64 nginx:latest

# 下载所有标签
docker pull --all-tags nginx
podman pull --all-tags nginx

# 用 Digest 指定特定构建（不可变引用）
docker pull nginx@sha256:abc123...
podman pull nginx@sha256:abc123...

# 本地镜像列表
docker images
podman images

# 详细形式（等价命令）
docker image ls
podman image ls

# 过滤特定镜像
docker images nginx
podman images nginx

# 只显示 dangling 镜像（无标签的镜像）
docker images -f dangling=true
podman images -f dangling=true

# 只输出镜像 ID
docker images -q
podman images -q

# 自定义格式输出
docker images --format "{{.Repository}}:{{.Tag}} - {{.Size}}"
podman images --format "{{.Repository}}:{{.Tag}} - {{.Size}}"

# JSON 格式输出 (Podman)
podman images --format json

# 查看镜像详细信息
docker inspect nginx:latest
podman inspect nginx:latest

# 只提取特定字段 (Go template)
docker inspect --format '{{.Config.ExposedPorts}}' nginx
podman inspect --format '{{.Config.ExposedPorts}}' nginx

# 查看镜像大小
docker inspect --format '{{.Size}}' nginx
podman inspect --format '{{.Size}}' nginx

# 查看环境变量
docker inspect --format '{{.Config.Env}}' nginx
podman inspect --format '{{.Config.Env}}' nginx

# 查看 Entrypoint 与 Cmd
docker inspect --format '{{.Config.Entrypoint}} {{.Config.Cmd}}' nginx
podman inspect --format '{{.Config.Entrypoint}} {{.Config.Cmd}}' nginx

# 查看镜像分层历史
docker history nginx
podman history nginx

# 显示完整命令（不截断）
docker history --no-trunc nginx
podman history --no-trunc nginx

# JSON 格式 (Podman)
podman history --format json nginx

# 给镜像添加新标签
docker tag nginx:latest myregistry.com/nginx:v1.0
podman tag nginx:latest myregistry.com/nginx:v1.0

# 添加多个标签
docker tag myapp:latest myapp:v2.1.0
docker tag myapp:latest myapp:stable
podman tag myapp:latest myapp:v2.1.0
podman tag myapp:latest myapp:stable

# 删除镜像
docker rmi nginx:latest
podman rmi nginx:latest

# 等价命令（推荐）
docker image rm nginx:latest
podman image rm nginx:latest

# 强制删除（即使有正在运行的容器）
docker rmi -f nginx:latest
podman rmi -f nginx:latest

# 删除所有镜像
docker rmi $(docker images -q)
podman rmi -a

# 只删除 Dangling 镜像
docker image prune -f
podman image prune -f

# 删除所有未被使用的镜像
docker image prune -a -f
podman image prune -a -f

# 按特定条件过滤后删除（超过 24 小时的镜像）
docker image prune -a --filter "until=24h"
podman image prune -a --filter "until=24h"

# 把镜像保存为 tar 文件
docker save -o nginx.tar nginx:latest
podman save -o nginx.tar nginx:latest

# 把多个镜像保存到一个 tar 中
docker save -o images.tar nginx:latest redis:latest postgres:15
podman save -o images.tar nginx:latest redis:latest postgres:15

# 以 gzip 压缩保存
docker save nginx:latest | gzip > nginx.tar.gz
podman save nginx:latest | gzip > nginx.tar.gz

# 从 tar 文件加载镜像
docker load -i nginx.tar
podman load -i nginx.tar

# 从 gzip 压缩文件加载
docker load -i nginx.tar.gz
podman load -i nginx.tar.gz

# 把容器的文件系统导出为 tar
docker export my-container -o container-fs.tar
podman export my-container -o container-fs.tar

# 从 tar 文件创建镜像
docker import container-fs.tar myimage:imported
podman import container-fs.tar myimage:imported

# 直接从 URL 导入
docker import https://example.com/rootfs.tar.gz myimage:latest
podman import https://example.com/rootfs.tar.gz myimage:latest

# 登录 Docker Hub
docker login
podman login docker.io

# 登录特定registry
docker login ghcr.io
podman login quay.io

# 直接指定用户名/密码
docker login -u username -p password registry.example.com
podman login -u username -p password registry.example.com

# 登出
docker logout
podman logout docker.io

# 推送镜像
docker push myregistry.com/myapp:v1.0
podman push myregistry.com/myapp:v1.0

# 推送所有标签
docker push --all-tags myregistry.com/myapp
podman push --all-tags myregistry.com/myapp

# Dockerfile 或 Containerfile —— 语法相同
FROM node:20-alpine AS builder

WORKDIR /app
COPY package*.json ./
RUN npm ci --only=production
COPY . .
RUN npm run build

FROM node:20-alpine
WORKDIR /app
COPY --from=builder /app/dist ./dist
COPY --from=builder /app/node_modules ./node_modules
EXPOSE 3000
USER node
CMD ["node", "dist/main.js"]

# 基本构建
docker build -t myapp:latest .
podman build -t myapp:latest .

# 指定特定 Dockerfile
docker build -f Dockerfile.prod -t myapp:prod .
podman build -f Containerfile.prod -t myapp:prod .

# 传递 Build argument
docker build --build-arg NODE_ENV=production -t myapp:prod .
podman build --build-arg NODE_ENV=production -t myapp:prod .

# 不使用缓存构建
docker build --no-cache -t myapp:latest .
podman build --no-cache -t myapp:latest .

# 指定目标阶段（多阶段）
docker build --target builder -t myapp:builder .
podman build --target builder -t myapp:builder .

# 多平台构建 (Docker BuildKit)
docker buildx build --platform linux/amd64,linux/arm64 -t myapp:latest .

# Podman 多平台构建
podman build --platform linux/amd64,linux/arm64 --manifest myapp:latest .

# 构建时限制内存
docker build --memory 2g -t myapp:latest .

# 最小化构建上下文大小 —— 必须善用 .dockerignore
# .dockerignore（或 .containerignore）
# node_modules
# .git
# *.md
# dist
# .env

# ============================================
# Stage 1: 构建环境
# ============================================
FROM golang:1.22-alpine AS builder

# 安装构建所需的工具
RUN apk add --no-cache git ca-certificates

WORKDIR /app

# 先复制依赖定义（利用缓存）
COPY go.mod go.sum ./
RUN go mod download

# 复制源码并构建
COPY . .
RUN CGO_ENABLED=0 GOOS=linux GOARCH=amd64 \
    go build -ldflags="-w -s" -o /app/server ./cmd/server

# ============================================
# Stage 2: 运行环境 (scratch = 空镜像)
# ============================================
FROM scratch

# 复制 CA 证书（用于 HTTPS 通信）
COPY --from=builder /etc/ssl/certs/ca-certificates.crt /etc/ssl/certs/

# 只复制二进制文件
COPY --from=builder /app/server /server

# 以非 root 用户运行
USER 65534:65534

EXPOSE 8080
ENTRYPOINT ["/server"]

# ============================================
# Stage 1: 构建
# ============================================
FROM eclipse-temurin:21-jdk-alpine AS builder

WORKDIR /app
COPY gradle/ gradle/
COPY gradlew build.gradle.kts settings.gradle.kts ./
RUN ./gradlew dependencies --no-daemon

COPY src/ src/
RUN ./gradlew bootJar --no-daemon -x test

# 生成 JRE 自定义运行时 (jlink)
RUN jlink \
    --add-modules java.base,java.logging,java.sql,java.naming,java.management,java.instrument,java.security.jgss,java.desktop \
    --strip-debug \
    --no-man-pages \
    --no-header-files \
    --compress=zip-6 \
    --output /custom-jre

# ============================================
# Stage 2: 运行（自定义 JRE）
# ============================================
FROM alpine:3.19

COPY --from=builder /custom-jre /opt/java
COPY --from=builder /app/build/libs/*.jar /app/app.jar

ENV JAVA_HOME=/opt/java
ENV PATH="${JAVA_HOME}/bin:${PATH}"

RUN addgroup -S appgroup && adduser -S appuser -G appgroup
USER appuser

EXPOSE 8080
ENTRYPOINT ["java", "-jar", "/app/app.jar"]

# ============================================
# Stage 1: 构建依赖
# ============================================
FROM python:3.12-slim AS builder

RUN pip install --no-cache-dir poetry
WORKDIR /app
COPY pyproject.toml poetry.lock ./
RUN poetry export -f requirements.txt --output requirements.txt --without-hashes
RUN pip install --no-cache-dir --prefix=/install -r requirements.txt

# ============================================
# Stage 2: 运行环境
# ============================================
FROM python:3.12-slim

# 只安装必要的系统库
RUN apt-get update && apt-get install -y --no-install-recommends \
    libpq5 \
    && rm -rf /var/lib/apt/lists/*

COPY --from=builder /install /usr/local
WORKDIR /app
COPY . .

RUN useradd --create-home appuser
USER appuser

EXPOSE 8000
CMD ["uvicorn", "main:app", "--host", "0.0.0.0", "--port", "8000"]

# ❌ 低效：源码一改动就要重新执行 npm install
FROM node:20-alpine
WORKDIR /app
COPY . .
RUN npm install
RUN npm run build

# ✅ 高效：只有 package.json 变化时才重新执行 npm install
FROM node:20-alpine
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci
COPY . .
RUN npm run build

变更频率低     ─── FROM (基础镜像)
       │         RUN apt-get install (系统软件包)
       │         COPY package.json (依赖定义)
       │         RUN npm ci (安装依赖)
       │         COPY . . (源代码)
变更频率高     ─── RUN npm run build (构建)

#!/bin/bash
# buildah-build.sh —— 不用 Dockerfile 构建镜像

# 创建新容器（从空镜像开始）
container=$(buildah from scratch)

# 或者从基础镜像开始
container=$(buildah from alpine:3.19)

# 安装软件包
buildah run $container -- apk add --no-cache nginx

# 复制文件
buildah copy $container ./nginx.conf /etc/nginx/nginx.conf
buildah copy $container ./html /var/www/html

# 配置
buildah config --port 80 $container
buildah config --entrypoint '["/usr/sbin/nginx", "-g", "daemon off;"]' $container
buildah config --author "DevOps Team" $container
buildah config --label maintainer="devops@example.com" $container

# 提交为镜像
buildah commit $container myapp:latest

# 清理
buildah rm $container

# 确认构建结果
buildah images

# 在registry之间直接复制镜像（无需本地下载！）
skopeo copy docker://docker.io/nginx:latest docker://quay.io/myorg/nginx:latest

# 检查镜像元数据（无需下载）
skopeo inspect docker://docker.io/library/nginx:latest

# 查看镜像标签列表
skopeo list-tags docker://docker.io/library/nginx

# 把镜像保存到本地目录 (OCI 格式)
skopeo copy docker://nginx:latest oci:./nginx-oci:latest

# 把镜像保存为 tar 文件
skopeo copy docker://nginx:latest docker-archive:./nginx.tar:nginx:latest

# 带认证复制到私有registry
skopeo copy --src-creds user:pass --dest-creds user:pass \
  docker://source-registry.com/app:v1 \
  docker://dest-registry.com/app:v1

# 删除镜像（从registry中）
skopeo delete docker://myregistry.com/myapp:old-tag

# 创建容器（不启动）
docker create --name my-nginx nginx:latest
podman create --name my-nginx nginx:latest

# 确认已创建的容器
docker ps -a
podman ps -a

# 启动已创建的容器
docker start my-nginx
podman start my-nginx

# ============================================
# 基本运行
# ============================================
docker run nginx
podman run nginx

# ============================================
# 后台运行 (-d: detach)
# ============================================
docker run -d --name web nginx
podman run -d --name web nginx

# ============================================
# 交互模式 (-it: interactive + tty)
# ============================================
docker run -it ubuntu:22.04 bash
podman run -it ubuntu:22.04 bash

# ============================================
# 退出时自动删除 (--rm)
# ============================================
docker run --rm -it alpine sh
podman run --rm -it alpine sh

# ============================================
# 端口映射 (-p host:container)
# ============================================
docker run -d -p 8080:80 nginx                    # 指定端口
docker run -d -p 80:80 -p 443:443 nginx           # 多端口
docker run -d -p 127.0.0.1:8080:80 nginx          # 指定网络接口
docker run -d -P nginx                             # 随机端口自动映射
podman run -d -p 8080:80 nginx

# ============================================
# 挂载卷 (-v host:container[:options])
# ============================================
docker run -d -v /host/data:/container/data nginx             # Bind mount
docker run -d -v myvolume:/container/data nginx               # Named volume
docker run -d -v /host/data:/container/data:ro nginx          # 只读
docker run -d --mount type=tmpfs,destination=/tmp nginx       # tmpfs
podman run -d -v /host/data:/container/data:Z nginx           # SELinux 标签 (:Z)

# ============================================
# 环境变量 (-e, --env-file)
# ============================================
docker run -d -e MYSQL_ROOT_PASSWORD=secret mysql:8
docker run -d -e DB_HOST=db -e DB_PORT=5432 myapp
docker run -d --env-file .env myapp
podman run -d -e MYSQL_ROOT_PASSWORD=secret mysql:8

# ============================================
# 资源限制 (--memory, --cpus)
# ============================================
docker run -d --memory 512m --memory-swap 1g nginx
docker run -d --cpus 1.5 nginx
docker run -d --cpus 2 --memory 1g --memory-reservation 512m myapp
podman run -d --memory 512m --cpus 1.5 nginx

# ============================================
# 重启策略 (--restart)
# ============================================
docker run -d --restart always nginx          # 总是重启
docker run -d --restart unless-stopped nginx  # 手动停止除外都重启
docker run -d --restart on-failure:5 nginx    # 失败时最多重启 5 次
docker run -d --restart no nginx              # 不重启（默认值）
podman run -d --restart always nginx

# ============================================
# 网络设置 (--network)
# ============================================
docker run -d --network my-network nginx
docker run -d --network host nginx            # 直接使用宿主机网络
docker run -d --network none nginx            # 无网络
podman run -d --network my-network nginx

# ============================================
# 共享 PID / IPC 命名空间
# ============================================
docker run -d --pid host nginx                # 宿主机 PID 命名空间
docker run -d --pid container:other nginx     # 共享其他容器的 PID
docker run -d --ipc host nginx                # 共享宿主机 IPC

# ============================================
# 其他实用选项
# ============================================
docker run -d --hostname myhost nginx               # 设置主机名
docker run -d --dns 8.8.8.8 nginx                   # 指定 DNS 服务器
docker run -d --add-host mydb:10.0.0.5 nginx        # 添加 /etc/hosts 条目
docker run -d --workdir /app myapp                   # 工作目录
docker run -d --user 1000:1000 myapp                 # 指定运行用户
docker run -d --read-only myapp                      # 只读文件系统
docker run -d --log-driver json-file \
  --log-opt max-size=10m --log-opt max-file=3 nginx  # 日志驱动设置

# 正在运行的容器列表
docker ps
podman ps

# 所有容器（包含已停止的）
docker ps -a
podman ps -a

# 最近创建的 n 个容器
docker ps -n 5
podman ps -n 5

# 只输出容器 ID
docker ps -q
podman ps -q

# 自定义格式
docker ps --format "table {{.Names}}\t{{.Status}}\t{{.Ports}}"
podman ps --format "table {{.Names}}\t{{.Status}}\t{{.Ports}}"

# 按特定状态过滤
docker ps -f status=exited
docker ps -f status=running
docker ps -f name=web
podman ps -f status=exited

# 启动容器
docker start my-nginx
podman start my-nginx

# 同时启动多个容器
docker start web db redis
podman start web db redis

# 停止容器 (SIGTERM → 10 秒后 SIGKILL)
docker stop my-nginx
podman stop my-nginx

# 指定超时时间（30 秒后强制终止）
docker stop -t 30 my-nginx
podman stop -t 30 my-nginx

# 停止所有正在运行的容器
docker stop $(docker ps -q)
podman stop -a

# 强制终止容器 (SIGKILL)
docker kill my-nginx
podman kill my-nginx

# 发送特定信号
docker kill -s SIGHUP my-nginx
podman kill -s SIGHUP my-nginx

# 重启容器
docker restart my-nginx
podman restart my-nginx

# 重启所有容器
docker restart $(docker ps -q)
podman restart -a

# 暂停容器 (SIGSTOP —— 冻结进程)
docker pause my-nginx
podman pause my-nginx

# 解除暂停 (SIGCONT)
docker unpause my-nginx
podman unpause my-nginx

# 删除已停止的容器
docker rm my-nginx
podman rm my-nginx

# 强制删除正在运行的容器
docker rm -f my-nginx
podman rm -f my-nginx

# 连同卷一起删除
docker rm -v my-nginx
podman rm -v my-nginx

# 删除所有已停止的容器
docker container prune -f
podman container prune -f

# 删除所有容器（含运行中的）
docker rm -f $(docker ps -aq)
podman rm -f -a

# 重命名容器
docker rename old-name new-name
podman rename old-name new-name

# 把容器保存为镜像（对当前状态做快照）
docker commit my-container myimage:snapshot
podman commit my-container myimage:snapshot

# 提交时添加元数据
docker commit -m "Added config files" -a "Author" my-container myimage:v2
podman commit -m "Added config files" -a "Author" my-container myimage:v2

# 等待容器退出（返回 exit code）
docker wait my-container
podman wait my-container

# 输出全部日志
docker logs my-container
podman logs my-container

# 实时日志流 (follow)
docker logs -f my-container
podman logs -f my-container

# 只显示最后 N 行
docker logs --tail 100 my-container
podman logs --tail 100 my-container

# 包含时间戳
docker logs -t my-container
podman logs -t my-container

# 特定时间之后的日志
docker logs --since 2024-01-01T00:00:00 my-container
docker logs --since 30m my-container    # 最近 30 分钟
docker logs --since 2h my-container     # 最近 2 小时
podman logs --since 30m my-container

# 特定时间之前的日志
docker logs --until 2024-01-01T12:00:00 my-container
podman logs --until 2024-01-01T12:00:00 my-container

# 组合：实时 + 最后 50 行 + 时间戳
docker logs -f --tail 50 -t my-container
podman logs -f --tail 50 -t my-container

# 实时显示所有运行中容器的资源使用量
docker stats
podman stats

# 只监控特定容器
docker stats my-container
podman stats my-container

# 只输出一次（适合脚本）
docker stats --no-stream
podman stats --no-stream

# 自定义格式
docker stats --format "table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}\t{{.NetIO}}"
podman stats --format "table {{.Name}}\t{{.CPUPerc}}\t{{.MemUsage}}\t{{.NetIO}}"

NAME        CPU %     MEM USAGE / LIMIT     NET I/O           BLOCK I/O
web         0.50%     45.2MiB / 512MiB      12.5kB / 8.3kB    4.1MB / 0B
db          2.30%     256MiB / 1GiB         45.2kB / 12.1kB   50MB / 120MB
redis       0.10%     12.5MiB / 256MiB      3.2kB / 1.1kB     0B / 0B

# 容器内部进程列表
docker top my-container
podman top my-container

# 传递 ps 选项
docker top my-container -aux
podman top my-container -aux

# Podman 专属：支持额外字段
podman top my-container user pid ppid args %cpu %mem
podman top my-container huser hpid

# 容器全部信息 (JSON)
docker inspect my-container
podman inspect my-container

# 查看 IP 地址
docker inspect -f '{{range.NetworkSettings.Networks}}{{.IPAddress}}{{end}}' my-container
podman inspect -f '{{range.NetworkSettings.Networks}}{{.IPAddress}}{{end}}' my-container

# 查看挂载信息
docker inspect -f '{{json .Mounts}}' my-container | jq .
podman inspect -f '{{json .Mounts}}' my-container | jq .

# 查看状态
docker inspect -f '{{.State.Status}}' my-container
podman inspect -f '{{.State.Status}}' my-container

# 查看重启次数
docker inspect -f '{{.RestartCount}}' my-container

# 查看环境变量
docker inspect -f '{{range .Config.Env}}{{println .}}{{end}}' my-container
podman inspect -f '{{range .Config.Env}}{{println .}}{{end}}' my-container

# 查看日志路径 (Docker)
docker inspect -f '{{.LogPath}}' my-container

# 宿主机 → 容器
docker cp ./config.yml my-container:/app/config.yml
podman cp ./config.yml my-container:/app/config.yml

# 容器 → 宿主机
docker cp my-container:/app/logs/error.log ./error.log
podman cp my-container:/app/logs/error.log ./error.log

# 复制目录
docker cp ./configs/ my-container:/app/configs/
podman cp ./configs/ my-container:/app/configs/

# 归档模式（保留符号链接）
docker cp -a my-container:/app/data ./backup/
podman cp -a my-container:/app/data ./backup/

# 进入交互式 shell
docker exec -it my-container bash
docker exec -it my-container sh      # 没有 bash 时（Alpine 等）
podman exec -it my-container bash

# 执行单条命令
docker exec my-container ls -la /app
podman exec my-container ls -la /app

# 设置环境变量后执行
docker exec -e DEBUG=true my-container node script.js
podman exec -e DEBUG=true my-container node script.js

# 以特定用户执行
docker exec -u root my-container apt-get update
podman exec -u root my-container dnf update

# 指定工作目录
docker exec -w /app my-container npm test
podman exec -w /app my-container npm test

# 在后台执行命令 (detach)
docker exec -d my-container touch /tmp/healthcheck
podman exec -d my-container touch /tmp/healthcheck

# 查看容器文件系统的变更内容
docker diff my-container
podman diff my-container

# 输出示例：
# A /tmp/new-file          (Added)
# C /etc/nginx/nginx.conf  (Changed)
# D /var/log/old.log       (Deleted)

# 查看容器的端口映射
docker port my-container
podman port my-container

# 查看特定端口
docker port my-container 80
podman port my-container 80

# 输出示例：
# 80/tcp -> 0.0.0.0:8080
# 443/tcp -> 0.0.0.0:8443

# 实时事件流
docker events
podman events

# 按特定事件类型过滤
docker events --filter event=start
docker events --filter event=stop
docker events --filter event=die
podman events --filter event=start

# 只过滤特定容器的事件
docker events --filter container=my-container
podman events --filter container=my-container

# 指定时间范围
docker events --since 1h --until 30m
podman events --since 1h

# JSON 格式输出
docker events --format '{{json .}}'
podman events --format json

# ============================================
# 创建网络 (Create)
# ============================================
# 创建默认 bridge 网络
docker network create my-network
podman network create my-network

# 指定子网与网关
docker network create \
  --subnet 172.20.0.0/16 \
  --gateway 172.20.0.1 \
  my-network
podman network create \
  --subnet 172.20.0.0/16 \
  --gateway 172.20.0.1 \
  my-network

# 指定 IP 范围
docker network create \
  --subnet 172.20.0.0/16 \
  --ip-range 172.20.240.0/20 \
  --gateway 172.20.0.1 \
  my-network

# 内部网络（无法从外部访问）
docker network create --internal internal-net
podman network create --internal internal-net

# 指定特定驱动
docker network create --driver macvlan \
  --subnet 192.168.1.0/24 \
  --gateway 192.168.1.1 \
  -o parent=eth0 \
  macvlan-net

# ============================================
# 网络列表 (List)
# ============================================
docker network ls
podman network ls

# ============================================
# 网络详细信息 (Inspect)
# ============================================
docker network inspect my-network
podman network inspect my-network

# 查看已连接的容器
docker network inspect -f '{{range .Containers}}{{.Name}} {{end}}' my-network

# ============================================
# 删除网络 (Remove)
# ============================================
docker network rm my-network
podman network rm my-network

# 清理未使用的网络
docker network prune -f
podman network prune -f

# 把运行中的容器连接到网络
docker network connect my-network my-container
podman network connect my-network my-container

# 以固定 IP 连接
docker network connect --ip 172.20.0.10 my-network my-container
podman network connect --ip 172.20.0.10 my-network my-container

# 从网络中断开
docker network disconnect my-network my-container
podman network disconnect my-network my-container

# 创建用户自定义网络
docker network create app-net
podman network create app-net

# 数据库容器
docker run -d --name db --network app-net \
  -e POSTGRES_PASSWORD=secret \
  postgres:16-alpine

# 应用容器（可以用名字访问 DB）
docker run -d --name app --network app-net \
  -e DATABASE_URL="postgresql://postgres:secret@db:5432/mydb" \
  -p 3000:3000 \
  myapp:latest

# 测试：从 app 容器 ping db
docker exec app ping -c 3 db
# PING db (172.20.0.2): 56 data bytes
# 64 bytes from 172.20.0.2: icmp_seq=0 ttl=64 time=0.123 ms

# 确认 Podman 网络后端
podman info --format '{{.Host.NetworkBackend}}'
# 输出: netavark

# Netavark + Aardvark-dns 结构:
# ┌──────────────┐     ┌──────────────┐
# │  Container A │     │  Container B │
# │  172.20.0.2  │     │  172.20.0.3  │
# └──────┬───────┘     └──────┬───────┘
#        │                     │
# ┌──────▼─────────────────────▼──────┐
# │        Netavark Bridge            │
# │   (基于 nftables 的网络管理)       │
# ├───────────────────────────────────┤
# │        Aardvark-dns               │
# │   (容器名 → IP 解析)              │
# └───────────────────────────────────┘

# ============================================
# 创建卷
# ============================================
docker volume create my-data
podman volume create my-data

# 指定驱动与选项
docker volume create --driver local \
  --opt type=nfs \
  --opt o=addr=192.168.1.100,rw \
  --opt device=:/path/to/share \
  nfs-volume

# 添加标签
docker volume create --label project=myapp --label env=prod my-data
podman volume create --label project=myapp --label env=prod my-data

# ============================================
# 卷列表
# ============================================
docker volume ls
podman volume ls

# 过滤
docker volume ls -f label=project=myapp
podman volume ls -f label=project=myapp

# Dangling 卷（未连接到任何容器）
docker volume ls -f dangling=true
podman volume ls -f dangling=true

# ============================================
# 卷详细信息
# ============================================
docker volume inspect my-data
podman volume inspect my-data

# 查看挂载点
docker volume inspect -f '{{.Mountpoint}}' my-data
podman volume inspect -f '{{.Mountpoint}}' my-data

# ============================================
# 删除卷
# ============================================
docker volume rm my-data
podman volume rm my-data

# 清理未使用的卷
docker volume prune -f
podman volume prune -f

# Bind Mount
docker run -d -v /home/user/data:/app/data nginx
docker run -d --mount type=bind,source=/home/user/data,target=/app/data nginx

# Named Volume
docker run -d -v app-data:/app/data nginx
docker run -d --mount type=volume,source=app-data,target=/app/data nginx

# tmpfs（基于内存，容器退出时删除）
docker run -d --tmpfs /tmp:rw,size=100m nginx
docker run -d --mount type=tmpfs,destination=/tmp,tmpfs-size=100m nginx

# 只读挂载
docker run -d -v /host/config:/app/config:ro nginx
docker run -d --mount type=bind,source=/host/config,target=/app/config,readonly nginx

# 在 Podman 中设置 SELinux 标签
podman run -d -v /host/data:/app/data:Z nginx    # Z: 私有标签
podman run -d -v /host/data:/app/data:z nginx    # z: 共享标签

# ============================================
# 备份卷数据
# ============================================
# 方法 1: 利用临时容器备份
docker run --rm \
  -v my-data:/source:ro \
  -v $(pwd):/backup \
  alpine tar czf /backup/my-data-backup.tar.gz -C /source .

podman run --rm \
  -v my-data:/source:ro \
  -v $(pwd):/backup \
  alpine tar czf /backup/my-data-backup.tar.gz -C /source .

# 方法 2: 按日期备份
docker run --rm \
  -v postgres-data:/source:ro \
  -v $(pwd)/backups:/backup \
  alpine tar czf /backup/postgres-$(date +%Y%m%d).tar.gz -C /source .

# ============================================
# 恢复卷数据
# ============================================
# 创建新卷后恢复
docker volume create restored-data

docker run --rm \
  -v restored-data:/target \
  -v $(pwd):/backup:ro \
  alpine tar xzf /backup/my-data-backup.tar.gz -C /target

podman run --rm \
  -v restored-data:/target \
  -v $(pwd):/backup:ro \
  alpine tar xzf /backup/my-data-backup.tar.gz -C /target

# ============================================
# 卷之间的数据迁移
# ============================================
docker run --rm \
  -v old-volume:/from:ro \
  -v new-volume:/to \
  alpine sh -c "cp -a /from/. /to/"

# docker-compose.yml（或 compose.yml）
version: '3.9' # Compose 文件格式版本（v2 中为可选）

services:
  web:
    build: ./app # Dockerfile 路径
    image: myapp:latest # 构建出的镜像名
    container_name: myapp-web # 容器名
    ports:
      - '3000:3000' # 端口映射
    environment: # 环境变量
      - NODE_ENV=production
      - DB_HOST=db
    env_file: # 环境变量文件
      - .env
    volumes: # 挂载卷
      - ./app:/app
      - node_modules:/app/node_modules
    depends_on: # 依赖关系
      db:
        condition: service_healthy
      redis:
        condition: service_started
    networks: # 网络
      - app-net
    restart: unless-stopped # 重启策略
    deploy: # 资源限制
      resources:
        limits:
          cpus: '1.0'
          memory: 512M
        reservations:
          cpus: '0.5'
          memory: 256M
    healthcheck: # 健康检查
      test: ['CMD', 'curl', '-f', 'http://localhost:3000/health']
      interval: 30s
      timeout: 10s
      retries: 3
      start_period: 40s

  db:
    image: postgres:16-alpine
    container_name: myapp-db
    environment:
      POSTGRES_DB: myapp
      POSTGRES_USER: admin
      POSTGRES_PASSWORD: secret
    volumes:
      - postgres-data:/var/lib/postgresql/data
      - ./init.sql:/docker-entrypoint-initdb.d/init.sql
    networks:
      - app-net
    healthcheck:
      test: ['CMD-SHELL', 'pg_isready -U admin -d myapp']
      interval: 10s
      timeout: 5s
      retries: 5

  redis:
    image: redis:7-alpine
    container_name: myapp-redis
    command: redis-server --appendonly yes --maxmemory 256mb
    volumes:
      - redis-data:/data
    networks:
      - app-net

volumes:
  postgres-data:
    driver: local
  redis-data:
    driver: local
  node_modules:

networks:
  app-net:
    driver: bridge
    ipam:
      config:
        - subnet: 172.28.0.0/16

# ============================================
# Docker Compose (v2: docker compose / v1: docker-compose)
# ============================================

# 启动服务（后台）
docker compose up -d
docker compose -f docker-compose.prod.yml up -d

# 构建后启动服务
docker compose up -d --build

# 只启动特定服务
docker compose up -d web db

# 扩缩容（调整服务实例数）
docker compose up -d --scale web=3

# 停止服务并清理资源
docker compose down

# 连同卷一起删除
docker compose down -v

# 连同镜像一起删除
docker compose down --rmi all

# 服务列表与状态
docker compose ps

# 服务日志
docker compose logs
docker compose logs -f web
docker compose logs --tail 100 web db

# 在服务内部执行命令
docker compose exec web bash
docker compose exec db psql -U admin -d myapp

# 执行一次性命令（run 会创建新容器）
docker compose run --rm web npm test
docker compose run --rm web python manage.py migrate

# 构建服务
docker compose build
docker compose build --no-cache web

# 重启服务
docker compose restart
docker compose restart web

# 校验配置有效性
docker compose config

# 拉取镜像
docker compose pull

# ============================================
# Podman Compose
# ============================================

# 安装 podman-compose
pip3 install podman-compose

# 或者在 Podman 4.7+ 中使用 podman compose（插件方式）
# 用法与 docker compose 相同

podman compose up -d
podman compose down
podman compose ps
podman compose logs -f web
podman compose exec web bash

# compose.yml —— 生产环境三层架构
services:
  # ============================================
  # Tier 1: Reverse Proxy (Nginx)
  # ============================================
  nginx:
    image: nginx:1.25-alpine
    container_name: proxy
    ports:
      - '80:80'
      - '443:443'
    volumes:
      - ./nginx/nginx.conf:/etc/nginx/nginx.conf:ro
      - ./nginx/ssl:/etc/nginx/ssl:ro
    depends_on:
      app:
        condition: service_healthy
    networks:
      - frontend
    restart: unless-stopped

  # ============================================
  # Tier 2: Application (Node.js)
  # ============================================
  app:
    build:
      context: ./app
      dockerfile: Dockerfile
      args:
        NODE_ENV: production
    container_name: app
    expose:
      - '3000'
    environment:
      - NODE_ENV=production
      - DB_HOST=postgres
      - DB_PORT=5432
      - DB_NAME=appdb
      - DB_USER=appuser
      - DB_PASS=${DB_PASSWORD}
      - REDIS_URL=redis://redis:6379
    depends_on:
      postgres:
        condition: service_healthy
      redis:
        condition: service_healthy
    networks:
      - frontend
      - backend
    healthcheck:
      test:
        [
          'CMD',
          'node',
          '-e',
          "require('http').get('http://localhost:3000/health', (r) => { process.exit(r.statusCode === 200 ? 0 : 1) })",
        ]
      interval: 30s
      timeout: 10s
      retries: 3
    deploy:
      resources:
        limits:
          cpus: '2.0'
          memory: 1G
    restart: unless-stopped

  # ============================================
  # Tier 3: Database (PostgreSQL)
  # ============================================
  postgres:
    image: postgres:16-alpine
    container_name: postgres
    environment:
      POSTGRES_DB: appdb
      POSTGRES_USER: appuser
      POSTGRES_PASSWORD: ${DB_PASSWORD}
      PGDATA: /var/lib/postgresql/data/pgdata
    volumes:
      - postgres-data:/var/lib/postgresql/data
      - ./db/init:/docker-entrypoint-initdb.d:ro
    networks:
      - backend
    healthcheck:
      test: ['CMD-SHELL', 'pg_isready -U appuser -d appdb']
      interval: 10s
      timeout: 5s
      retries: 5
    deploy:
      resources:
        limits:
          cpus: '1.0'
          memory: 512M
    restart: unless-stopped

  # ============================================
  # Cache: Redis
  # ============================================
  redis:
    image: redis:7-alpine
    container_name: redis
    command: >
      redis-server
      --appendonly yes
      --maxmemory 256mb
      --maxmemory-policy allkeys-lru
      --requirepass ${REDIS_PASSWORD}
    volumes:
      - redis-data:/data
    networks:
      - backend
    healthcheck:
      test: ['CMD', 'redis-cli', '-a', '${REDIS_PASSWORD}', 'ping']
      interval: 10s
      timeout: 5s
      retries: 5
    deploy:
      resources:
        limits:
          cpus: '0.5'
          memory: 512M
    restart: unless-stopped

volumes:
  postgres-data:
    driver: local
  redis-data:
    driver: local

networks:
  frontend:
    driver: bridge
  backend:
    driver: bridge
    internal: true # 阻断外部访问

# compose.override.yml —— 开发环境（自动加载）
services:
  app:
    build:
      args:
        NODE_ENV: development
    volumes:
      - ./app/src:/app/src # 源码热重载
    environment:
      - NODE_ENV=development
      - DEBUG=app:*
    ports:
      - '3000:3000' # 开发时直接访问
      - '9229:9229' # Node.js 调试器端口

  postgres:
    ports:
      - '5432:5432' # 开发时直接访问

# compose.prod.yml —— 生产环境
services:
  app:
    build:
      args:
        NODE_ENV: production
    deploy:
      replicas: 3
      resources:
        limits:
          cpus: '4.0'
          memory: 2G

  nginx:
    deploy:
      resources:
        limits:
          cpus: '1.0'
          memory: 256M

# 开发环境（自动合并 compose.yml + compose.override.yml）
docker compose up -d

# 生产环境（排除 override，使用 prod 配置）
docker compose -f compose.yml -f compose.prod.yml up -d

# 使用按环境划分的 .env 文件
docker compose --env-file .env.production up -d

# ============================================
# 创建 Pod
# ============================================
# 创建基本 Pod
podman pod create --name my-pod

# 创建时带端口映射（在 Pod 层面定义端口）
podman pod create --name web-pod -p 8080:80 -p 8443:443

# 指定网络
podman pod create --name web-pod --network my-network

# ============================================
# 向 Pod 添加容器
# ============================================
# 在 Pod 中运行容器（--pod 选项）
podman run -d --pod my-pod --name nginx nginx:latest
podman run -d --pod my-pod --name php php:8.2-fpm

# Pod 内的容器之间可以通过 localhost 通信
# nginx → localhost:9000 → php-fpm

# ============================================
# Pod 管理
# ============================================
# Pod 列表
podman pod list
podman pod ps

# Pod 详细信息
podman pod inspect my-pod

# 启动/停止/重启 Pod
podman pod start my-pod
podman pod stop my-pod
podman pod restart my-pod

# 暂停/恢复 Pod
podman pod pause my-pod
podman pod unpause my-pod

# 删除 Pod（含容器）
podman pod rm my-pod
podman pod rm -f my-pod    # 强制删除

# 删除所有 Pod
podman pod rm -a -f

# 查看 Pod 的进程
podman pod top my-pod

# Pod 的资源使用量
podman pod stats my-pod

# 从容器生成 K8s YAML
podman generate kube my-container > deployment.yaml

# 从 Pod 生成 K8s YAML
podman generate kube my-pod > pod.yaml

# 包含 Service 信息
podman generate kube --service my-pod > pod-with-service.yaml

# 生成的 YAML 示例:
# apiVersion: v1
# kind: Pod
# metadata:
#   name: my-pod
# spec:
#   containers:
#   - name: nginx
#     image: nginx:latest
#     ports:
#     - containerPort: 80
#       hostPort: 8080
#   - name: php
#     image: php:8.2-fpm

# 用 K8s YAML 文件创建 Pod
podman play kube deployment.yaml

# 支持 ConfigMap
podman play kube pod.yaml --configmap configmap.yaml

# 支持密钥
podman play kube pod.yaml --seccomp-profile-root ./profiles

# 替换已有资源（更新）
podman play kube --replace pod.yaml

# 删除资源
podman play kube --down pod.yaml

# 包含构建
podman play kube --build pod.yaml

# 把容器生成为 systemd 服务
podman generate systemd --name my-container > ~/.config/systemd/user/my-container.service

# 应用新配置（用户级别）
systemctl --user daemon-reload
systemctl --user enable my-container.service
systemctl --user start my-container.service

# 把 Pod 生成为 systemd 服务
podman generate systemd --name my-pod --files
# → 生成 pod-my-pod.service, container-nginx.service, container-php.service

# 选项
podman generate systemd --name my-container \
  --restart-policy always \
  --time 30 \
  --new    # 启动时创建新容器（推荐）

# ~/.config/containers/systemd/webapp.container
[Unit]
Description=My Web Application
After=network-online.target

[Container]
Image=docker.io/library/nginx:latest
ContainerName=webapp
PublishPort=8080:80
Volume=webapp-data:/usr/share/nginx/html:ro
Environment=NGINX_WORKER_PROCESSES=auto
AutoUpdate=registry
HealthCmd=curl -f http://localhost/ || exit 1
HealthInterval=30s

[Service]
Restart=always
TimeoutStartSec=300

[Install]
WantedBy=default.target

# 放置 Quadlet 文件后应用
# 系统级别: /etc/containers/systemd/
# 用户级别: ~/.config/containers/systemd/

systemctl --user daemon-reload
systemctl --user start webapp.service
systemctl --user enable webapp.service
systemctl --user status webapp.service

# 查看日志
journalctl --user -u webapp.service -f

# 查看当前用户的 UID 映射
cat /etc/subuid
# user1:100000:65536
# → user1 把宿主机 UID 100000~165535 用作容器内部 UID

cat /etc/subgid
# user1:100000:65536

# 映射结构:
# 容器 UID 0 (root) → 宿主机 UID 100000（普通用户）
# 容器 UID 1        → 宿主机 UID 100001
# 容器 UID 65535    → 宿主机 UID 165535

# 确认 rootless 状态
podman info --format '{{.Host.Security.Rootless}}'
# true

# 确认 rootless 模式下的限制事项
podman info | grep -A 5 rootless

# 运行 rootless 容器（默认值）
podman run -d --name rootless-nginx -p 8080:80 nginx

# 在宿主机上查看进程 —— 以普通用户而非 root 运行
ps aux | grep nginx
# user1    12345  ... nginx: master process

# ============================================
# Docker Rootless 模式配置
# ============================================
# 安装 rootless Docker
curl -fsSL https://get.docker.com/rootless | sh

# 设置环境变量 (~/.bashrc)
export PATH=$HOME/bin:$PATH
export DOCKER_HOST=unix://$XDG_RUNTIME_DIR/docker.sock

# 启动 rootless Docker
systemctl --user start docker
systemctl --user enable docker

# ============================================
# Podman Rootless 模式配置（默认启用）
# ============================================
# 确认 subuid/subgid 配置
grep $USER /etc/subuid /etc/subgid

# 若没有配置则添加
sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 $USER

# 命名空间迁移（重新映射已有镜像）
podman system migrate

# ============================================
# Capability 管理
# ============================================
# 移除全部 capability 后只添加需要的（最小权限原则）
docker run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx
podman run --cap-drop ALL --cap-add NET_BIND_SERVICE nginx

# 确认默认 capability
docker run --rm alpine cat /proc/1/status | grep Cap
podman run --rm alpine cat /proc/1/status | grep Cap

# 主要 Capability 列表:
# NET_BIND_SERVICE : 绑定 1024 以下端口
# SYS_PTRACE       : 进程调试 (strace 等)
# NET_RAW           : 使用 RAW 套接字 (ping 等)
# CHOWN             : 修改文件所有权
# DAC_OVERRIDE      : 忽略文件权限
# SETUID/SETGID     : 修改 UID/GID

# ============================================
# Security Options
# ============================================
# no-new-privileges: 防止 execve 时提权
docker run --security-opt no-new-privileges:true myapp
podman run --security-opt no-new-privileges:true myapp

# 应用 Seccomp 配置文件
docker run --security-opt seccomp=./custom-seccomp.json myapp
podman run --security-opt seccomp=./custom-seccomp.json myapp

# AppArmor 配置文件 (Docker/Ubuntu)
docker run --security-opt apparmor=docker-default myapp

# SELinux 标签 (Podman/RHEL)
podman run --security-opt label=type:container_t myapp
podman run --security-opt label=disable myapp    # 关闭 SELinux

# 把文件系统设为只读
docker run --read-only nginx
podman run --read-only nginx

# 只把需要写入的目录挂载为 tmpfs
docker run --read-only \
  --tmpfs /tmp \
  --tmpfs /var/run \
  --tmpfs /var/cache/nginx \
  nginx

podman run --read-only \
  --tmpfs /tmp \
  --tmpfs /var/run \
  --tmpfs /var/cache/nginx \
  nginx

# ============================================
# Docker Content Trust (DCT)
# ============================================
# 只允许拉取/运行已签名的镜像
export DOCKER_CONTENT_TRUST=1
docker pull nginx:latest    # 已验证签名

# 给镜像签名
docker trust sign myregistry.com/myapp:v1.0

# 确认签名
docker trust inspect --pretty myregistry.com/myapp:v1.0

# ============================================
# Podman 镜像签名（基于 GPG）
# ============================================
# 查看签名策略文件
cat /etc/containers/policy.json

# 用 GPG 密钥给镜像签名
podman push --sign-by security@example.com myregistry.com/myapp:v1.0

# 签名策略配置示例 (/etc/containers/policy.json)
# {
#   "default": [{"type": "reject"}],
#   "transports": {
#     "docker": {
#       "myregistry.com": [
#         {
#           "type": "signedBy",
#           "keyType": "GPGKeys",
#           "keyPath": "/etc/pki/rpm-gpg/RPM-GPG-KEY-myorg"
#         }
#       ],
#       "docker.io": [{"type": "insecureAcceptAnything"}]
#     }
#   }
# }

# 用 Skopeo 验证镜像完整性
skopeo inspect --raw docker://myregistry.com/myapp:v1.0 | jq .

# 磁盘占用摘要
docker system df
podman system df

# 详细信息
docker system df -v
podman system df -v

# 输出示例:
# TYPE            TOTAL    ACTIVE   SIZE      RECLAIMABLE
# Images          15       5        4.2GB     2.8GB (66%)
# Containers      8        3        120MB     80MB (66%)
# Local Volumes   10       4        1.5GB     800MB (53%)
# Build Cache     20       0        500MB     500MB (100%)

# 清理已停止的容器 + dangling 镜像 + 未使用的网络 + 构建缓存
docker system prune
podman system prune

# 不显示确认提示直接执行
docker system prune -f
podman system prune -f

# 连未使用的镜像一起清理（注意！）
docker system prune -a -f
podman system prune -a -f

# 连卷一起清理（非常注意！可能丢失数据）
docker system prune -a --volumes -f
podman system prune -a --volumes -f

# 只清理超过特定时间的资源
docker system prune -a --filter "until=720h" -f    # 30 天以上

# 系统整体信息
docker info
podman info

# 主要确认项:
# - Storage Driver
# - Cgroup Version (v1/v2)
# - Security Options
# - Kernel Version
# - OS/Architecture
# - Registry 配置

# 版本信息
docker version
podman version

# 分别确认客户端/服务端版本
docker version --format '{{.Client.Version}}'
docker version --format '{{.Server.Version}}'
podman version --format '{{.Client.Version}}'

# 原因: 当前用户不属于 docker 组
# 解决:
sudo usermod -aG docker $USER
newgrp docker    # 或者重新登录

# 确认
groups $USER
docker ps        # 应当无错误运行

# 原因: 未配置 subuid/subgid
# 解决:
sudo usermod --add-subuids 100000-165535 --add-subgids 100000-165535 $USER

# 命名空间迁移
podman system migrate

# 确认
podman unshare cat /proc/self/uid_map

# 原因: 宿主机与容器的 UID 映射不一致
# 方法 1: 用 unshare 修改所有权
podman unshare chown 1000:1000 /host/path/data

# 方法 2: 用 :U 选项自动映射 UID (Podman 4.0+)
podman run -v /host/data:/data:U myapp

# 方法 3: 添加 SELinux 标签 (RHEL/CentOS)
podman run -v /host/data:/data:Z myapp

# 确认 DNS
docker exec my-container cat /etc/resolv.conf
docker exec my-container nslookup google.com

# 解决 1: 直接指定 DNS 服务器
docker run --dns 8.8.8.8 --dns 8.8.4.4 myapp

# 解决 2: 检查 iptables/nftables 规则
sudo iptables -L -n -t nat
sudo nft list ruleset

# 解决 3: 启用 IP 转发
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward
# 永久配置: 在 /etc/sysctl.conf 中添加 net.ipv4.ip_forward=1

# 原因: 正在使用默认 bridge 网络（不支持 DNS 解析）
# 解决: 创建用户自定义网络
docker network create my-net
docker run -d --network my-net --name db postgres:16
docker run -d --network my-net --name app \
  -e DB_HOST=db myapp    # 现在可以用 "db" 访问了

# 原因: rootless 模式下默认无法使用 1024 以下端口
# 解决 1: 使用 1024 以上端口
podman run -d -p 8080:80 nginx

# 解决 2: 用 sysctl 修改 unprivileged 端口范围
sudo sysctl -w net.ipv4.ip_unprivileged_port_start=80
# 永久配置: /etc/sysctl.conf

# 解决 3: 使用 rootful 模式
sudo podman run -d -p 80:80 nginx

# 确认磁盘占用
docker system df -v
podman system df -v

# 分阶段清理:
# 第 1 步: 删除已停止的容器
docker container prune -f

# 第 2 步: 删除 Dangling 镜像
docker image prune -f

# 第 3 步: 删除未使用的卷（注意: 先确认数据！）
docker volume prune -f

# 第 4 步: 删除构建缓存
docker builder prune -f

# 第 5 步: 整体清理（最后手段）
docker system prune -a --volumes -f

# 只清理超过特定时间的镜像
docker image prune -a --filter "until=720h" -f    # 30 天以上

# Rootless Podman 的默认存储位置
# ~/.local/share/containers/storage/

# 修改存储路径: ~/.config/containers/storage.conf
# [storage]
# driver = "overlay"
# graphroot = "/mnt/large-disk/containers/storage"

# 修改后迁移
podman system reset    # 注意: 会删除所有容器/镜像

# 需要安装 QEMU 模拟器
docker run --rm --privileged multiarch/qemu-user-static --reset -p yes

# 创建 buildx 构建器
docker buildx create --name multiarch --use
docker buildx inspect multiarch --bootstrap

# 多平台构建
docker buildx build --platform linux/amd64,linux/arm64 \
  -t myapp:latest --push .

# 创建 .dockerignore 文件
cat > .dockerignore << 'EOF'
.git
node_modules
dist
*.log
.env
.DS_Store
**/*.test.js
**/*.spec.js
coverage
.nyc_output
EOF

# 确认构建上下文大小
du -sh . --exclude=.git --exclude=node_modules

# 只把特定路径用作构建上下文
docker build -f Dockerfile -t myapp . --build-context src=./src

# ============================================
# 调试立即退出的容器
# ============================================
# 查看退出日志
docker logs my-container
docker inspect -f '{{.State.ExitCode}}' my-container
docker inspect -f '{{.State.Error}}' my-container

# 覆盖 entrypoint 进入 shell
docker run -it --entrypoint sh myapp:latest
podman run -it --entrypoint sh myapp:latest

# ============================================
# 网络调试
# ============================================
# 网络调试专用容器
docker run --rm -it --network container:target-container \
  nicolaka/netshoot bash

# 在特定网络中调试
docker run --rm -it --network my-net nicolaka/netshoot bash
# → 可以使用 nslookup, dig, curl, tcpdump, iperf3, netstat 等

# ============================================
# 文件系统调试
# ============================================
# 确认容器文件系统的变更内容
docker diff my-container

# 把容器的文件系统提取为 tar 后分析
docker export my-container | tar -tf - | head -50

# ============================================
# 确认资源限制
# ============================================
# 确认容器的 cgroup 配置
docker exec my-container cat /sys/fs/cgroup/memory.max
docker exec my-container cat /sys/fs/cgroup/cpu.max

# 确认是否被 OOM Killed
docker inspect -f '{{.State.OOMKilled}}' my-container