Docker部署高可用Kong网关需解耦数据库、网关节点与管理界面，确保故障隔离与自动恢复：PostgreSQL须用命名卷+健康检查+外部集群；多Kong节点共享数据库并启用Gossip同步；Admin API与Proxy流量分离，通过Nginx负载均衡；docker-compose统一编排实现滚动更新与资源限制。
用Docker部署高可用Kong网关，核心不是堆容器数量，而是让数据库、网关节点、管理界面三者解耦且具备故障隔离与自动恢复能力。单节点Docker跑Kong只是入门，生产级高可用需围绕数据持久性、节点横向扩展、健康检查和配置一致性来设计。
确保PostgreSQL数据库真正高可用
Kong本身无状态，但所有路由、插件、消费者配置都依赖数据库。PostgreSQL单容器是单点故障源，必须强化：
- 使用命名卷（不推荐仅用bind mount）挂载
/var/lib/postgresql/data，例如-v kong_db_data:/var/lib/postgresql/data，避免容器重建丢数据 - 在docker-compose中为
kong-db配置healthcheck，用pg_isready探测连接性，触发依赖服务延迟启动 - 生产环境禁用默认密码，通过
secrets或环境变量文件注入凭证，例如env_file: .kong-env，内容含KONG_PG_PASSWORD=xxx - 若需跨主机容灾，应搭配外部PostgreSQL集群（如Patroni+etcd），Docker内仅部署只读副本用于本地缓存
多Kong节点共用同一数据库并启用集群发现
Kong节点本身可水平扩展，只要它们连向同一个PostgreSQL实例（或主从集群的主库），并通过Gossip协议自动同步配置缓存：
- 启动多个
kong容器时，全部指定相同KONG_DATABASE=postgres和KONG_PG_HOST，但必须启用KONG_CLUSTER_LISTEN（如0.0.0.0:7946）并加入同一Docker网络 - 创建自定义bridge网络时开启
--attachable，允许外部负载均衡器（如Nginx或Traefik）接入该网络做流量分发 - 每个Kong容器添加
restart: unless-stopped和healthcheck（调用kong health），Docker会自动重启异常节点 - 避免在容器间直接用
links，统一用DNS名称（如kong-db）访问数据库，Docker内置DNS保证解析稳定
分离Admin API与Proxy流量，前置统一入口
Admin API（端口8001）不应暴露给公网，Proxy接口（8000/8443）需被LB统一代理。Docker内部可通过网络策略隔离：
- 将Kong容器部署在
kong-net网络中，但只把Proxy端口（-p 8000:8000）映射到宿主机；Admin端口8001不映射，仅供内部工具（如Konga）调用 - 单独起一个Nginx容器，也接入
kong-net，配置upstream指向kong:8000（DNS名），实现轮询或IP哈希负载均衡 - 若用Konga管理界面，它必须与Kong同网，并通过
http://kong:8001访问Admin API，而非localhost:8001 - 为Admin API加基础认证：在Nginx层用
auth_basic，或在Kong上启用basic-auth插件限制consumer访问
用docker-compose统一编排，支持滚动更新
相比手动run一堆容器，docker-compose能声明式定义依赖、重启策略和资源限制，适合持续交付：
- 定义
volumes块明确声明kong_db_data等持久化卷，避免docker volume create命令遗漏 - 用
depends_on配合condition: service_healthy，确保Kong只在PostgreSQL健康后才启动 - 升级时执行
docker-compose up -d --no-deps --scale kong=3 kong，先扩新版本节点，再缩旧节点，实现零停机 - 在
kong服务中设置mem_limit: 1g和cpus: 1.0，防止单节点吃光宿主机资源影响其他服务
