关键在于确认容器内进程是否绑定0.0.0.0并监听目标端口，而非仅看端口映射配置；需用docker exec -it 容器名 ss -tuln | grep :端口号验证监听状态，配合docker ps检查映射关系、ss/iptables查宿主机端口占用与防火墙拦截。
要检查 Docker 容器中某个端口是否处于监听状态，关键不是只看“端口映射是否配置”，而是确认容器内进程是否真正在该端口上 bind 并 listen。这分两层：宿主机视角（端口映射是否生效）和容器内部视角（应用是否真正监听）。下面直接说实用方法：
查容器内是否监听指定端口
进入容器执行 netstat 或 ss（推荐后者，更轻量）：
docker exec -it <容器名或ID> ss -tuln | grep :<端口号>- 例如检查 8080 端口：
docker exec -it myapp ss -tuln | grep :8080 - 若输出类似
tcp LISTEN 0 128 *:8080 *:*，说明容器内确实在监听 - 若无输出，说明应用没启动、没监听、或监听了其他地址（如只监听 127.0.0.1，不响应外部请求）
查端口映射是否正确建立
用 docker ps 快速看宿主机到容器的端口转发关系：
docker ps --format "table {{.Names}}\t{{.Ports}}"- 关注输出中的
0.0.0.0:宿主机端口->容器端口/tcp格式 - 比如
0.0.0.0:3000->3000/tcp表示宿主机 3000 映射到容器 3000 - 注意：如果显示
->3000/tcp（没有左边部分），说明没做 -p 映射，该端口对外不可达
查宿主机上对应端口是否被占用或监听
避免端口冲突或 iptables/firewalld 拦截：
-
sudo ss -tuln | grep :<宿主机端口>（确认宿主机确实在监听） -
sudo iptables -L -n -v | grep <端口>（检查是否有 DROP 规则） - Ubuntu/Debian 上还可运行
sudo ufw status查防火墙状态
查容器实际绑定的 IP 和端口细节
当 netstat/ss 不可用时（如 Alpine 镜像没装 net-tools），用 docker inspect 辅助验证：
docker inspect <容器名> | jq '.[0].NetworkSettings.Ports'- 输出会显示映射关系，但注意：它只反映 -p 参数配置，不反映应用是否真在跑
- 同时查看
.HostConfig.PortBindings和.NetworkSettings.Ports是否一致
