容器启动后立即退出的根本原因是主进程结束，因容器遵循“主进程退出即终止”规则；需确保ENTRYPOINT/CMD运行前台不退出进程如tail -f /dev/null或nginx -g "daemon off;"。
容器启动后立刻退出，docker run 没报错但查不到进程
根本原因通常是容器主进程结束得比你预期快——它不是“后台服务”，而是严格遵循“主进程退出即容器终止”规则。
常见错误现象：docker ps 看不到容器，docker ps -a 显示 Exited (0) 或 Exited (1)；用 docker logs <container_id> 查日志发现命令执行完就结束了。
- 如果你只是想跑个命令（比如
curl https://httpbin.org/get），它执行完自然退出，容器随之停止——这不是 bug，是设计 - 要让容器持续运行，必须保证
ENTRYPOINT或cmd启动一个前台、不退出的进程，比如tail -f /dev/null、sleep infinity（需 busybox 或 coreutils 支持）或真正的服务进程（如nginx -g "daemon off;"） - 调试时别只看
docker run是否返回，要加-it并观察终端输出；生产环境建议加--restart=unless-stopped防止意外退出后彻底失联
docker build 缓存失效太快，每次都要重跑所有层
Docker 构建缓存基于每条 RUN、COPY、ADD 指令的输入内容是否变化。只要某一层变了，它之后的所有层都会重建。
典型诱因：把 COPY . /app 放太早，导致 package.json 或 requirements.txt 变更时，连带后面的 npm install 或 pip install 也全重来。
- 按变更频率分层：先
COPY依赖清单（package.json、requirements.txt），再RUN安装依赖，最后COPY源码——这样改业务代码不会触发重装依赖 - 避免在
RUN中用curl下载外部资源（比如下载二进制），除非加校验（sha256sum）并利用缓存逻辑，否则每次构建都算“不同输入” -
.dockerignore必须配：排除node_modules、__pycache__、.git等，否则它们混进上下文会悄悄破坏缓存一致性
容器内时间与宿主机不一致，导致日志时间错乱或证书校验失败
Linux 容器共享宿主机内核，但默认不共享时钟源。如果宿主机时间被 NTP 调整过，而容器没同步，就会出现偏差——尤其在使用 systemd-timesyncd 或 chrony 的发行版上更明显。
错误表现：journalctl 或应用日志里时间跳变、早于当前时间；HTTPS 请求报 x509: certificate has expired or is not yet valid 即使证书明明有效。
- 最稳方案：启动容器时挂载宿主机的
/etc/localtime和/etc/timezone（只读）：docker run -v /etc/localtime:/etc/localtime:ro -v /etc/timezone:/etc/timezone:ro ... - 不推荐在容器里装
ntpd或chronyd：容器生命周期短，NTP 需要稳定运行才能收敛，且可能和宿主机冲突 - 若用 Kubernetes，可通过
hostPID: true+ 共享命名空间间接同步，但权限开得过大，一般只用于调试
用 docker exec 进容器查问题，却连 ps 或 top 都没有
很多精简镜像（Alpine、Distroless）默认不带常用诊断工具，不是你操作错了，是镜像本来就没装。
常见场景：想看某个进程 CPU 占用，执行 docker exec -it <id> top 报 command not found；或者 nslookup、curl、jq 全不可用。
- 优先用
apk add --no-cache <tool>（Alpine）或apt-get update && apt-get install -y <tool>（Debian/Ubuntu）临时装——但注意：装的包不会持久，容器重启就丢 - 长期运维建议：构建阶段就加入诊断工具，比如 Alpine 镜像加
RUN apk add --no-cache procps curl iputils jq；Distroless 则换用gcr.io/distroless/base-debian12:nonroot这类带基础工具的变体 - 别依赖
bash：很多镜像只有sh，写调试脚本时用 POSIX shell 语法，避免[[ ]]或source等 bash 特有特性
容器不是虚拟机，它的边界感很强：进程生命周期、文件系统、时钟、工具链都得按它的规则来。越早接受这点，越少掉进“我以为它该有”的坑里。
