Go语言通过Docker SDK调用HTTP API控制容器，需显式指定host（如unix:///var/run/docker.sock）、拉镜像时消费全部io.ReadCloser流、ContainerCreate后轮询Inspect确认running状态、ContainerLogs必须设Follow:false防阻塞。
Go 语言本身不直接管理 Docker 容器，而是通过官方 SDK（github.com/docker/docker/client）调用 Docker Daemon 的 HTTP API 实现自动化控制。关键不在“写多少代码”，而在于配置合规、权限到位、流式响应处理得当。
连接本地 Docker Daemon 是第一道关
SDK 不会自动读取 DOCKER_HOST 环境变量，也不默认连 Unix socket。必须显式指定 host：
- Linux/macOS：用
unix:///var/run/docker.sock，运行程序的用户需在docker用户组，否则报permission denied - macOS（Docker Desktop）：实际路径是
unix:///Users/$USER/.docker/run/docker.sock - WSL2：推荐开启 Docker Desktop 的 “WSL integration”，仍用
unix:///var/run/docker.sock；若走 TCP，需设tcp://localhost:2375并在 Docker Desktop 中启用 “Expose daemon”（仅限开发） - 初始化示例：
client.NewClientWithOpts(client.WithHost("unix:///var/run/docker.sock"), client.WithAPIVersionNegotiation())
创建容器前必须做三件事
ContainerCreate 不会自动拉镜像、不解析 latest、不校验配置合法性——出错就是硬失败：
- 先确认镜像存在：
client.ImageList(ctx, types.ImageListOptions{All: true})，检查RepoTags字段是否含完整名称（如nginx:alpine，不是nginx） - 手动拉取并消费流：
resp, err := client.ImagePull(ctx, "nginx:alpine", types.ImagePullOptions{})，然后必须io.Copy(io.Discard, resp)或逐行解码 JSON 流，否则后续调用会卡住 - 构建合法配置：Config.Image 必须带 tag；Cmd/Entrypoint 是
[]string（如[]string{"sh", "-c", "echo hello"}）；端口映射要两步——Config.ExposedPorts声明 +HostConfig.PortBindings绑定
启动与状态判断不能靠“立刻执行”
ContainerStart 是异步触发，返回不代表容器已就绪：
立即学习“go语言免费学习笔记（深入）”；
- 调用后需轮询
client.ContainerInspect，检查State.Status == "running"，建议最多等 5 秒，避免死等 - 更可靠的方式是看
State.Pid > 0，比 Status 更早反映进程是否 fork 成功 - 不要在 Start 后立即 Exec：未运行时会报
container is not running；也不要硬加time.Sleep，冷启动可能超预期 - 注意 HostConfig.NetworkMode = "host" 时，ContainerStart 的
Platform字段必须完全不传，否则报错configured for host network
清理和日志要防泄漏、防阻塞
流式接口不显式关闭，轻则 goroutine 泄漏，重则内存暴涨：
- ContainerLogs 默认
Follow: true，必须传types.ContainerLogsOptions{Follow: false, ShowStdout: true, Timestamps: true} - 读取日志用
io.Copy或带 buffer 的bufio.Reader，别用io.ReadAll——大日志易 OOM - 删除容器前先 Stop，再 Remove；设
types.ContainerRemoveOptions{Force: true, RemoveVolumes: true}避免残留 - 每次调用完 client 记得
defer client.Close()，尤其在长周期服务中
