可通过 docker events 实时捕获容器全生命周期事件，结合 jq 过滤解析并触发告警；进阶可对接 Prometheus+Alertmanager 实现指标化监控与统一告警管理。
可以通过 docker 的事件流（docker events）实时捕获容器的创建、启动、停止、销毁等全生命周期事件，并结合轻量脚本或工具触发告警。关键在于稳定消费事件流、准确过滤目标事件、避免重复/丢失，再对接通知渠道（如企业微信、钉钉、邮件或 prometheus alertmanager）。
监听 Docker Events 流并解析关键字段
Docker 默认通过 Unix socket 暴露事件接口，使用 docker events 命令即可持续接收 JSON 格式事件。推荐加上过滤参数缩小范围，减少干扰：
-
--filter event=start、--filter event=die、--filter event=destroy等只关注容器状态变更事件 -
--filter type=container明确限定为容器事件（排除镜像、网络等） -
--format '{{json .}}'输出标准 JSON，便于后续用jq解析 - 建议加
--since 0从当前时间开始，避免历史事件刷屏
用 Shell + jq 实现轻量级事件路由与告警触发
无需引入复杂框架，一个后台运行的 Bash 脚本就能完成事件消费和条件告警。示例逻辑：
- 用
while read循环读取docker events输出 - 用
jq -r提取.Actor.Attributes.name、.status、.timeNano等关键字段 - 对特定行为做判断：例如
status == "die"且.Actor.Attributes.exitCode != "0"视为异常退出 - 匹配后调用
curl推送告警到 Webhook（如钉钉机器人），附带容器名、状态、时间戳
注意：脚本需加简单去重或时间窗口限频（如 5 分钟内同容器同事件只报一次），防止风暴。
进阶方案：对接 Prometheus + Alertmanager
若已有可观测体系，更推荐将事件转为指标暴露给 Prometheus：
- 用
docker-events-exporter（开源小工具）或自写 Python 服务，把事件转换为 Counter 类型指标，例如docker_container_events_total{status="start",name="nginx"} 1 - 在 Prometheus 中配置 recording rule，统计异常退出频次（如
rate(docker_container_events_total{status="die",exit_code!="0"}[1h]) > 0.1） - Alertmanager 配置对应告警规则和静默/分组策略，统一管理通知渠道和升级流程
稳定性与运维要点
生产环境部署需考虑几个实际问题：
-
Docker daemon 重启会导致事件流中断：脚本应支持自动重连（如用
until循环包裹docker events） - 事件无序或延迟：Docker 不保证严格时序，避免依赖“start 后必须紧接 start”类逻辑；用容器 ID 或 name + status 组合作为判断依据更可靠
-
权限与安全：运行脚本的用户需有访问
/var/run/docker.sock权限；生产中建议用专用用户+group，而非 root - 日志与可观测性：记录原始事件和告警触发日志，方便回溯；可输出到 journald 或本地文件，配合 logrotate
