要让前端与后端服务在 Docker Compose 中“完全断连”，关键是使用互不重叠的自定义 bridge 网络（如 frontend-net 和 backend-net），确保两者 networks 块无交集，禁用 host 模式、extra_hosts、links、反向代理 upstream 等所有潜在通信路径，并通过 ping/nslookup/inspect 实测验证无 DNS 解析、IP 可达或容器共网。
要让前端与后端服务在 Docker Compose 中“完全断连”，关键不是禁用网络，而是切断它们之间所有潜在的通信路径——包括 DNS 解析、IP 层可达性、端口暴露和别名映射。Compose 的默认网络本身具备天然隔离性，但需主动规避跨项目隐式互通、共享网络、反向代理或 host 模式等常见松动点。
确保各自使用独立的非共享自定义网络
默认网络虽隔离，但容易因项目名冲突或未设 network scope 导致混淆。显式声明互不重叠的 bridge 网络可杜绝意外连接：
- 前端服务只接入 frontend-net，后端服务只接入 backend-net，两者 networks 块完全不交集
- 两个网络都设置 driver: bridge 且不加 external: true，避免被其他项目复用
- 不使用 network_mode: "host" 或 network_mode: "container:..."，防止绕过网络栈
禁用任何跨网络通信机制
即使网络物理隔离，仍可能通过间接方式打通。必须主动关闭所有旁路：
- 不配置 extra_hosts 手动写死对方 IP；不使用 links（已弃用但旧配置可能残留）
- 不挂载相同 volumes 并依赖文件 socket 或命名管道通信
- 不在 nginx / traefik 等反向代理配置中 upstream 后端服务名——若代理与后端同属一个项目，默认网络会自动解析，反而造成逻辑连通
验证断连是否真正生效
光靠配置不保险，需实测确认无任何通信可能：
立即学习“前端免费学习笔记（深入）”；
- 进入前端容器：docker compose exec frontend sh，执行 ping backend 和 nslookup backend → 应全部失败
- 尝试 telnet 或 curl 访问后端容器 IP + 端口（需先查 docker inspect 获取其实际 IP）→ 应连接超时或拒绝
- 检查 docker network inspect frontend-net 和 backend-net → 确认两网络中无共同容器 ID
配套加固：移除所有隐式依赖线索
断连不仅是网络层，还要消除应用层误判基础：
- 前端镜像构建时，不打包后端 API 地址（如环境变量 VUE_APP_API_BASE 应为空或占位符，而非真实 service 名）
- 后端服务不监听 0.0.0.0:port 外部地址，仅绑定 127.0.0.1 或容器内网地址（若无需对外提供服务）
- docker-compose.yml 中删除 depends_on（它只控制启动顺序，不建立网络连接，但易误导开发者认为存在关联）
