核心问题是匿名数据卷未被清理，需用docker rm --volumes批量删除exited容器及其关联匿名卷，或分步执行docker container prune -f、docker volume prune -f、docker network prune -f彻底清理，并通过--rm和显式挂载从源头预防。
exited容器清理不干净，核心问题往往不在容器本身，而在于它关联的匿名数据卷（anonymous volumes）没被一并删除。docker默认只删容器元数据和可写层，匿名卷会悄悄留下，持续占用磁盘空间——尤其在ci/cd、批量测试或脚本化部署中，这个问题特别明显。
确认是否真有残留匿名卷
先别急着删，得看清现状：
- 查已退出容器：docker ps -a --filter "status=exited"
- 查孤立卷（即未被任何容器使用的卷）：docker volume ls -f dangling=true
- 重点看输出里有没有名字是随机哈希值（如 2b9c7a1e5f...）的卷——这类基本就是匿名卷
清理时必须带上 --volumes 参数
老版本用 -v，但新版本已废弃，必须用 --volumes 才能联动清理匿名卷：
- 删单个 exited 容器并清其匿名卷：docker rm --volumes
- 批量删所有 exited 容器 + 它们的匿名卷：docker rm --volumes $(docker ps -aq --filter "status=exited")
- 注意：这个命令不会影响已命名卷（named volumes），只动匿名卷，相对安全
更彻底的方案：用 prune 命令组合清理
如果系统里已经堆积大量残留，推荐分步执行，避免误伤：
- 先清理所有已停止容器：docker container prune -f
- 再清理孤立匿名卷：docker volume prune -f
- 最后清理未使用网络（顺手）：docker network prune -f
- 这三步加起来，比单靠 docker rm 更干净，也更符合 Docker 的资源管理逻辑
从源头预防：启动时就规避匿名卷残留
与其事后补救，不如启动时就控制住：
- 临时容器加 --rm：比如 docker run --rm ubuntu echo "done"，退出即删，连容器带匿名卷都不留
- 明确挂载路径，避免隐式创建匿名卷：用 -v /host/path:/container/path 或 --mount 显式声明，不依赖 Docker 自动分配
- CI/CD 脚本中统一加 --volumes 和 --force，确保清理动作完整
