docker.from_env() 是最稳妥的连接方式，只要 Docker daemon 正在运行且权限正确，就能直接连上本地引擎；远程或自定义 socket 连接易因 TLS、网络或权限问题失败，尤其在 CI/CD 中更突出。
docker.from_env() 是最稳妥的连接方式，只要 Docker daemon 正在运行且权限正确，就能直接连上本地引擎。远程连接或自定义 socket 路径反而容易因 TLS 配置、网络策略或权限问题失败，尤其在 CI/CD 环境中更易暴露。
容器创建时必须显式控制 detach 和 auto_remove
用 client.containers.run() 启动测试容器，如果只传 detach=True，容器会后台运行但不会自动清理；如果只设 auto_remove=True，它只对非 detach 模式生效（即前台运行），否则会报错 ValueError: auto_remove cannot be enabled when detach is True。
正确做法是：测试类场景优先用 detach=False + auto_remove=True，让容器执行完命令立即销毁；若需长期运行（如集成测试服务端），则用 detach=True，后续手动调用 container.remove(force=True)。
-
detach=False, auto_remove=True：适合单次命令（如"python -m pytest"），输出可直接捕获 -
detach=True：适合启动数据库、Redis 等依赖服务，必须配container.wait(timeout=30)等待就绪 - 避免漏掉
force=True：调用remove()前容器可能处于 exited 状态，不加 force 会抛APIError: 409 Client Error
挂载卷和端口映射要严格匹配宿主机路径与权限
测试容器常需读写本地代码或配置文件，volumes 参数若用相对路径（如 "./tests:/app/tests"），在不同工作目录下会挂载失败；用 os.path.abspath() 转成绝对路径才可靠。
Linux/macOS 下，挂载目录若属 root 或权限为 755，而容器内进程以非 root 用户运行（如 user="1001"），就会出现 Permission denied。解决方法：
立即学习“Python免费学习笔记（深入）”；
- 提前用
os.chmod()或subprocess.run(["chmod", "-R", "777", path])放宽宿主机目录权限（仅限测试环境） - 在
run()中加user="root"（快速验证，不推荐长期使用） - 用
tmpfs替代持久卷：适用于临时数据，避免权限纠缠，例如tmpfs={"/tmp": {}}}
容器状态等待不能只靠 time.sleep()
用 container.status 查状态是静态快照，不是实时监听；time.sleep(2) 这种硬等待在高负载机器上可能不够，低负载又浪费时间。真正可靠的方式是轮询 + 超时：
for _ in range(30):
container.reload()
if container.status == "running":
break
time.sleep(1)
else:
raise RuntimeError("Container failed to start")
注意：reload() 必须调用，否则 container.status 始终是初始值；container.wait() 只适用于前台容器（detach=False），后台容器要用 reload()。
container.remove(force=True)，Docker 可能仍保留其关联的匿名 volume 或 network，多次运行测试后磁盘空间会悄悄涨。建议在测试 teardown 阶段加一句 client.volumes.prune() 和 client.networks.prune()，尤其是用 docker-compose 模拟多容器时。 
