docker events 是 Docker 守护进程原生轻量级事件流接口，秒级捕获容器全生命周期事件；支持按类型、事件名、容器名、标签等多维过滤，输出结构化 JSON；需脚本守护稳定消费，注意时间精度、事件链关联及消费端高可用。
docker events 是 Docker 守护进程原生提供的轻量级事件流接口，无需额外部署组件，即可秒级捕获全集群容器的创建、启动、停止、销毁等关键动作。它本质是守护进程内部状态变更的实时广播，Rancher、Portainer 等平台正是基于此机制实现状态自动同步。
直接监听容器生命周期事件
运行以下命令即可实时看到所有容器相关事件：
docker events --filter type=container --format '{{json .}}'-
--filter type=container排除镜像、网络、卷等无关事件，聚焦容器本身 -
--format '{{json .}}'输出标准 JSON，字段清晰（含Action、Actor.ID、timeNano、Status） - 每行一个事件，例如
{"Action":"start","Type":"container","Actor":{"ID":"abc123..."},"timeNano":"1749856210123456789"}
按需缩小范围，避免噪声干扰
生产环境不建议监听全量事件。推荐组合过滤条件：
- 只关注销毁类事件：
--filter event=destroy --filter event=die - 锁定特定服务：
--filter container=web-api --filter container=cache-*（支持前缀匹配） - 基于标签筛选（需容器启动时加
-l role=backend）：--filter label=role=backend
稳定消费事件并落地告警
原生命令适合调试，长期运行需脚本守护：
- 用 Bash 或 Python 启动
docker events子进程，逐行读取 stdout - 解析
Action字段识别关键动作（create、start、die、destroy） - 遇到
die事件时，立即执行docker inspect $id --format='{{.State.ExitCode}}'补充退出码 - 将结构化事件转发至日志系统（如 Fluentd）、Prometheus Pushgateway 或企业微信/钉钉 webhook
注意时间精度与事件语义
-
timeNano是纳秒级字符串，转换为可读时间需除以1e9（如 Python 中datetime.fromtimestamp(int(ts)/1e9)） -
docker run会连续触发create → start → attach多个事件，建议用Actor.ID关联同一容器操作链 - 守护进程重启后，未消费事件不可恢复，务必保证消费端高可用，必要时加简单本地文件缓冲
不复杂但容易忽略
