质量、安全与可观测 on 远栈

Docker 数据卷、文件权限与密钥怎么配置

Thu, 03 Sep 2026 00:00:00 +0800

数据库和应用状态写入 volume，只读配置使用 bind mount，密钥通过文件挂载给指定服务。配置完成后还要核对进程 UID/GID，并分别执行容器重建和独立恢复。

数据库写入 named volume，配置只读挂载，密钥仅挂载到需要它的服务。

根据数据用途选择 named volume、bind mount 或 tmpfs

类型	适合内容	优点	主要风险
named volume	数据库、队列、应用持久状态	生命周期由 Docker 管理，路径不与单台主机布局强耦合	宿主备份和迁移要明确卷名与驱动
bind mount	Caddyfile、明确的数据目录、宿主脚本	路径可见，便于现有备份与权限工具管理	强依赖宿主路径、属主和 SELinux/AppArmor 条件
tmpfs	临时敏感文件、无需持久化的高速临时数据	不写入持久磁盘	重启即丢失，容量占用内存

Docker storage 文档（在新标签页打开）建议优先用 volume 保存容器生成的持久数据；bind mount 更适合需要直接共享和管理的宿主文件。镜像层不适合承载运行数据，容器删除时可写层也会消失。

Docker 端口怎么暴露：127.0.0.1、0.0.0.0、防火墙与容器网络

Wed, 02 Sep 2026 23:50:00 +0800

判断 Docker 端口是否暴露，需要分别查看容器内监听地址、宿主机端口绑定，以及防火墙和云安全组。容器内监听 0.0.0.0，不等于该端口已经暴露到公网。

应用和数据库只在 Docker 网络通信；公网只能到达反向代理开放的端口。

监听地址、宿主绑定和服务名属于不同网络层

配置位置	示例	含义
应用进程监听	`0.0.0.0:8080`	接受当前容器所有网络接口上的 8080 连接
应用进程监听	`127.0.0.1:8080`	只接受同一容器回环接口的连接
Docker 端口发布	`127.0.0.1:8080:8080`	宿主机本地可通过 8080 访问容器 8080
Docker 端口发布	`0.0.0.0:8080:8080`	宿主机全部 IPv4 接口发布 8080，可能被公网访问
Compose 内部访问	`http://app:8080`	同网络服务通过服务名访问容器端口

两处 0.0.0.0 的作用不同。应用在容器内监听全部接口，是为了让同网络代理访问；Docker 把端口发布到宿主全部接口，则扩大了宿主机入口。

Uptime Kuma网站监控搭建指南 | 开源免费的监控告警系统

Fri, 11 Oct 2024 00:00:32 +0800

服务器部署一款开源的监控工具：Uptime Kuma（在新标签页打开）

前置条件：在服务器安装完成Docker

sudo -i

mkdir -p /root/data/docker_data/uptime_kuma

编辑docker-compose.yml文件

cd /root/data/docker_data/uptime_kuma

vim docker-compose.yml

# 输入安装脚本,以下版本为1.23.X版本，如需最新版本，需自行修改
version: '3.3'

services:
 uptime-kuma:
 image: louislam/uptime-kuma:1
 container_name: uptime-kuma
 volumes:
 - ./uptime-kuma-data:/app/data
 ports:
 - 3001:3001 # <Host Port>:<Container Port>
 restart: always

运行安装命令

docker compose up -d

# 打开防火墙3001端口

输入http://服务器地址:3001 访问