EXPOSE 指令仅作文档声明，不实现端口暴露；必须配合 -p 映射、应用监听 0.0.0.0 及宿主机防火墙放行才能使容器端口对外可访问。
仅靠 dockerfile 中的 expose 指令无法让容器端口被外部网络访问。它只是声明“这个容器打算监听某个端口”，属于文档性质，不触发任何网络映射或防火墙开放动作。
EXPOSE 的作用和局限
EXPOSE 是写在 Dockerfile 里的元数据指令，例如：
EXPOSE 3000 8080
它只起到提示作用：告诉使用者、运维人员或自动化工具（如 docker-compose 的 -P）该镜像预期使用哪些端口。但运行容器时若不额外操作，宿主机根本不会监听这些端口，外部请求连不到容器。
真正实现外部可访问的必要步骤
-
运行容器时必须用
-p或--publish：例如docker run -p 8080:3000 my-app，把宿主机 8080 端口映射到容器 3000 端口 -
应用进程需监听
0.0.0.0而非127.0.0.1：比如 Node.js 启动时写app.listen(3000, '0.0.0.0')，否则即使端口映射了，请求也会被容器内部网络栈拒绝 -
宿主机防火墙需放行对应端口：Linux 上检查
ufw或iptables，云服务器还需确认安全组规则
常见错误写法辨析
❌ EXPOSE 3000 → 不等于开放端口
❌ docker run -d my-app → 即使有 EXPOSE，也完全不可访问
❌ docker run -p 3000:3000 my-app + 应用绑定 127.0.0.1 → 映射无效，只能容器内 curl
推荐组合实践
在 Dockerfile 中写：
EXPOSE 3000
启动时写：
docker run -d -p 8080:3000 --name web my-app
同时确保应用代码中绑定地址为 0.0.0.0。这样，外部设备通过 http://宿主机IP:8080 就能正常访问。
