Docker数据卷本质是宿主机文件系统上的真实目录：命名卷和匿名卷默认存于/var/lib/docker/volumes/，绑定挂载则直接使用用户指定路径；三者差异在于路径控制权与生命周期管理主体不同——命名卷由Docker daemon全权管理，匿名卷由Docker自动生成随机ID并托管，绑定挂载则完全由用户掌控宿主路径与权限。
学 Docker 数据卷底层原理，关键不是背命令，而是搞清“数据到底存在哪、怎么被容器看到、谁在管它”。从宿主机视角切入，比从 Docker CLI 开始更扎实。
先看宿主机上真实存在的东西
所有卷最终都落盘在宿主机文件系统里。命名卷和匿名卷默认存于 /var/lib/docker/volumes/ 下，每个卷是一个独立子目录（如 mydb/_data）；绑定挂载则直接指向你指定的任意路径（如 /home/user/app-data）。用 ls -l /var/lib/docker/volumes/ 或 docker volume inspect myvol 就能立刻看到对应宿主路径。这是理解持久化的起点——数据没进容器层，它就在硬盘上。
区分三种挂载方式的本质差异
它们不是“功能不同”，而是“谁控制路径、谁负责生命周期”：
- 命名卷：Docker daemon 全权管理。创建时自动分配宿主路径，权限由 Docker 设置（通常 root:root，但可指定 uid/gid），适合数据库等需要隔离又不想操心路径的场景。
-
匿名卷：只写容器内路径（如
-v /app/data），Docker 自动生成随机 ID 卷名并存到/var/lib/docker/volumes/。适合单容器临时状态，但难追踪、难复用。 - 绑定挂载：你完全掌控宿主路径。Docker 不创建目录、不改权限、不清理——它只是把你的目录 mount 进容器。开发调试常用，但要注意 SELinux/AppArmor 限制和用户 UID 不匹配导致的写入失败。
动手验证挂载机制
不用跑完整应用，几条命令就能看清数据流向：
- 运行
docker run -v myvol:/data alpine touch /data/hello，再执行docker run -v myvol:/data alpine ls /data，确认hello还在——证明卷跨容器存活。 - 在宿主机
echo "test" > /var/lib/docker/volumes/myvol/_data/from-host，再进容器cat /data/from-host，看到内容——证明双向实时同步。 - 对比
docker run -v $(pwd)/local:/data alpine和docker run -v localnamed:/data alpine，用findmnt | grep data查看两种挂载在内核层面的 mount source 是否不同（前者是绝对路径，后者是 loop 设备或 bind mount 到 volumes 目录）。
结合 Linux 挂载机制理解
Docker 卷本质是 Linux 的 mount 操作。命名卷和匿名卷底层多为 bind mount（将 /var/lib/docker/volumes/xxx/_data 绑定到容器内路径），而绑定挂载也是同理。可用 mount | grep docker 或 cat /proc/$(pidof dockerd)/mountinfo 查看实际挂载记录。理解 shared/slave/private propagation 模式对多容器共享卷很关键——默认是 private，所以一个容器删文件，其他容器看不到变化；若需实时可见，得用 shared（需在 --mount type=bind,bind-propagation=shared 中显式设）。
