Docker无原生port-forward命令，但可通过-p映射端口（如docker run -p 8080:80）、socat转发（socat TCP-LISTEN:8080,fork TCP:[容器IP]:80）或nsenter进入网络命名空间等方式实现本地访问容器服务。
在 Docker 中并没有原生的 “Port-Forward” 命令（类似 kubectl port-forward），但你可以通过容器端口映射、docker exec 搭配 ssh 或 socat、以及借助宿主机上的工具（如 nc、rinetd）等方式，实现类似“将远程容器内服务端口转发到本地”的效果。核心思路是：让本地机器能访问本不该直接暴露的服务（比如容器内仅监听 127.0.0.1 的端口，或未映射到宿主机的端口）。
方法一：启动时用 -p 映射端口（最常用）
这是最直接、推荐用于开发调试的方式——把容器内端口绑定到宿主机指定端口，再通过 localhost:PORT 访问。
-
语法：
docker run -p [宿主机IP:]宿主机端口:容器端口[/协议] 镜像名 - 例如：
docker run -p 8080:80 nginx→ 宿主机访问http://localhost:8080即可看到 Nginx - 支持多端口：
-p 3000:3000 -p 9229:9229 - 绑定到特定 IP（如仅限本机）：
-p 127.0.0.1:8080:80
方法二：对已运行容器动态添加端口映射（无原生支持，需变通）
Docker 不允许直接修改运行中容器的端口映射，但可通过以下方式“模拟”转发：
-
用 socat 在宿主机上做 TCP 转发：
先确保容器内服务监听在0.0.0.0（而非仅127.0.0.1），再获取容器 IP：docker inspect -f '{{.NetworkSettings.IPAddress}}' 容器名或ID
然后在宿主机运行：socat TCP-LISTEN:8080,reuseaddr,fork TCP:[容器IP]:80
（需提前安装 socat：apt install socat或brew install socat） -
用 docker exec + ssh -R（需容器内有 sshd）：
不常见，适合特殊场景；一般不建议为转发专门启 SSH。
方法三：用 nsenter 进入容器网络命名空间（高级，绕过 IP 获取）
适用于容器未暴露端口、又不想改启动参数的情况，直接复用容器网络环境发起连接：
- 先查容器 PID：
docker inspect -f '{{.State.Pid}}' 容器名 - 然后用 nsenter 进入其网络空间，再用 curl/wget 访问容器内服务：
nsenter -t $PID -n curl http://127.0.0.1:3000/api/health - 若想“转发”，可配合
socat或python -m http.server做代理，但较繁琐，多用于诊断。
补充：对比 Kubernetes 的 kubectl port-forward
K8s 的 kubectl port-forward 本质是客户端与 kube-apiserver 建立 WebSocket 连接，再由 apiserver 代理到 Pod。Docker 没有这种控制平面，所以无法完全等价。但对单机开发而言，-p 映射 + docker exec 已覆盖绝大多数需求。
不复杂但容易忽略：务必确认容器内服务监听的是 0.0.0.0:PORT，而不是 127.0.0.1:PORT——后者在容器内也无法被外部（包括宿主机）访问。
