Docker核心运行逻辑是“镜像→容器→隔离→通信→持久化”闭环：镜像为分层只读快照，容器是其加可写层与Namespaces/Cgroups隔离的运行实例，卷负责持久化，网络依赖netns/veth/iptables实现通信。
直接从运行逻辑切入最有效。Docker 不是抽象概念堆砌，而是一套围绕“镜像→容器→隔离→通信→持久化”闭环工作的系统。学架构不等于背组件名，关键是搞清每个环节在做什么、为什么这样设计、出问题时卡在哪一层。
先跑通一个容器，反向拆解它怎么活起来
用 docker run -it ubuntu:22.04 bash 启动一个基础容器，这不是练习命令，而是观察整个链路：
- 客户端（CLI）只发请求，不做构建、不拉镜像、不启进程——它只是个信使；
- Docker Daemon 收到后，先查本地有没有 ubuntu:22.04 镜像，没有就去 Registry 拉取；
- 拉下来的是分层只读文件系统，Daemon 会叠加一层可写层，形成容器根文件系统；
- 启动时，Daemon 调用 runc（底层运行时）创建新进程，并通过 Linux Namespaces 隔离 PID、网络、挂载点等，再用 Cgroups 限制资源；
- 你看到的 bash，其实是在宿主机内核上跑的一个普通进程，只是被“罩”在了隔离环境中。
聚焦四大核心组件，跳过外围包装
官方文档和教程常列七八个名词，实际日常开发运维真正高频接触的是这四个：
- 镜像（Image）：不是打包好的“程序”，而是按指令逐层生成的只读文件系统快照。每层对应 Dockerfile 一行，共享层让多个镜像共用 base，节省空间；
- 容器（Container）：镜像 + 可写层 + 隔离上下文 = 运行实例。停止后可写层丢弃，除非你用了 volume；
-
卷（Volume）：唯一专为数据持久化设计的机制。命名卷由 Docker 管理路径，绑定挂载则直连宿主机目录——别用
ADD或COPY存数据； - 网络（Network）：默认 bridge 模式会建虚拟网桥和 iptables 规则。容器间通信靠 IP，对外暴露靠端口映射，不是“开个端口”那么简单，背后是 netns + veth + iptables 协同。
动手验证关键机制，比看图更管用
光看架构图容易迷糊，几个小实验就能厘清边界：
- 运行
docker inspect <容器ID>，重点看GraphDriver.Data.MergedDir（容器联合文件系统挂载点）和NetworkSettings.Networks.bridge.IPAddress（容器内网IP）； - 进容器执行
cat /proc/1/cgroup，看到 CPU/memory 的 cgroup 路径，说明资源限制已生效； - 在容器里执行
ls /proc/1/ns/，列出所有 namespace 类型（pid、net、mnt 等），这就是隔离的“外壳”； - 删掉一个正在运行的容器，再查
docker ps -a，发现状态是 Exited —— 容器本质就是进程，生命周期和进程一致。
避开常见认知陷阱
很多理解偏差来自术语混淆或过度类比：
- 容器 ≠ 虚拟机：没 Guest OS，不模拟硬件，共享宿主机内核；
- Docker Daemon ≠ Docker 全部：它上面还有 containerd、runc 等组件，但初学阶段把 daemon 当作“引擎总控”即可；
- 镜像分层不是为了“节省空间”而存在，首要目标是复用与可追溯——每一层都有唯一 SHA256，便于校验和缓存；
- 说“Docker 使用 Cgroups 和 Namespaces”，不等于你在代码里要调用它们——这些是内核接口，Docker 封装后你只需关心效果（如
--memory=512m）。
