直接挂载Docker原生日志路径不可行，因其由守护进程独占管理；正确做法是：挂载应用自定义日志目录、配置--log-driver导出stdout/stderr、或用Fluentd/Filebeat采集-json.log文件。
直接挂载日志文件路径无法实现实时导出——因为 Docker 默认将 stdout/stderr 日志写入内部 JSON 文件（如 /var/lib/docker/containers/<id>/<id>-json.log），该文件由 Docker 守护进程独占管理，容器内进程不直接写入、也不可被挂载为普通文件系统卷。强行挂载 /var/lib/docker/containers 或其子目录不仅违反 Docker 安全模型，还可能导致日志损坏或守护进程异常。
用 -v 挂载应用日志目录（适用于自定义日志）
如果你的应用主动写日志到文件（如 Nginx 的 /var/log/nginx/access.log、Spring Boot 的 logs/app.log），这才是挂载的正确场景：
- 在 Dockerfile 或启动命令中，确保应用将日志输出到固定路径（如
/app/logs） - 运行容器时用
-v将该路径映射到宿主机目录：docker run -d -v $(pwd)/host-logs:/app/logs my-app - 宿主机上即可实时查看：
tail -f ./host-logs/app.log
用 --log-driver 配置原生日志导出（推荐用于 stdout/stderr）
Docker 原生支持将容器标准输出日志直接路由到外部系统，无需中间文件或脚本：
-
导出到本地文件（带轮转）：
docker run --log-driver=json-file --log-opt max-size=10m --log-opt max-file=5 -d nginx
日志自动存于/var/lib/docker/containers/<id>/<id>-json.log，可通过docker logs读取，也可用tail -f直接监听该路径（需宿主机权限） -
导出到 syslog：
docker run --log-driver=syslog --log-opt syslog-address=udp://192.168.1.100:514 -d my-app -
导出到 journald（systemd 环境）：
docker run --log-driver=journald -d my-app，之后用journalctl -t docker查看
用 Fluentd/Filebeat 等采集器对接中心化日志系统
当需要将日志发往 Elasticsearch、Kafka 或 S3 等远端目标时，应让采集器从 Docker 原生日志源读取：
- 启动容器时启用
json-file驱动（默认即如此），确保日志可被采集器识别 - 部署 Fluentd 或 Filebeat 容器，配置其 source 为
tail模式，监听/var/lib/docker/containers/**/*-json.log（需挂载该目录只读）：docker run -d --name fluentd -v /var/lib/docker/containers:/var/lib/docker/containers:ro -v $(pwd)/fluent.conf:/fluentd/etc/fluent.conf fluent/fluentd - Fluentd 配置示例中指定
@type tail+path /var/lib/docker/containers/**/*.log+@type elasticsearch即可完成端到端投递
避免常见误区
以下做法不可靠或已被弃用：
- 试图
docker cp正在写入的-json.log文件——可能读到截断或不一致内容 - 在容器内运行
tail -f /proc/1/fd/1 > /shared/log.txt——stdout 已被 Docker 拦截，该 fd 不反映真实日志流 - 用
docker logs -f > file做长期日志收集——进程退出后中断，且无轮转、无时间戳对齐 - 挂载
/var/lib/docker全局目录到容器——破坏 Docker 存储隔离，存在数据风险
