FrankenPHP容器默认监听127.0.0.1仅限容器内部loopback，宿主机无法访问；需用-p 127.0.0.1:8080:8080实现宿主机独占访问，且不可与--network host混用，否则127.0.0.1将等价宿主机地址导致意外暴露。
FrankenPHP容器默认监听127.0.0.1，但Docker网络下它不等于“本机”
很多人以为 127.0.0.1 在容器里就是“只绑定本机”，其实不然。Docker 容器有自己的网络命名空间，127.0.0.1 指的是容器内部的 loopback，宿主机根本连不上——哪怕你用 curl http://localhost:8080 从宿主机发请求，也进不到容器里。
所以“只绑定本机地址”这个需求，在 Docker 场景下实际要分两种理解：
- 想让只有宿主机（不是其他机器）能访问 → 那得靠
-p 127.0.0.1:8080:8080这种 host 绑定写法 - 想让容器内服务只响应来自容器自己进程的请求（比如健康检查 curl localhost）→ 确实可以保持
127.0.0.1:8080，但外部完全不可达，也不需要额外配置
用 -p 127.0.0.1:8080:8080 实现宿主机独占访问
Docker 的 -p 支持指定宿主机监听地址，这是最直接、最可控的方式：
-
docker run -p 127.0.0.1:8080:8080 dunglas/frankenphp -- -listen 127.0.0.1:8080：宿主机只有localhost:8080能连，其他 IP（包括同局域网设备）连不上 - FrankenPHP 内部仍可监听
127.0.0.1:8080，因为此时它和宿主机的127.0.0.1是隔离的，互不影响 - 不要写
--network host+127.0.0.1：host 模式下127.0.0.1就是宿主机的 loopback，反而会让服务对外暴露（见下一条）
别在 --network host 下用 127.0.0.1 绑定
host 模式会共享宿主机网络栈，这时 FrankenPHP 的 -listen 127.0.0.1:8080 实际等价于宿主机的 127.0.0.1:8080 ——表面看是“本机”，但只要宿主机开了防火墙放行、或有其他服务反代，就可能被外部穿透。
立即学习“PHP免费学习笔记（深入）”；
更关键的是：host 模式下 FrankenPHP 默认监听 127.0.0.1:8080，会导致外部请求直接被拒（连接被拒绝），因为 127.0.0.1 不响应非 loopback 流量。
- 真要用 host 模式且只限本机 → 必须加 iptables 规则限制入向，例如：
iptables -A INPUT -i lo -p tcp --dport 8080 -j ACCEPT; iptables -A INPUT -p tcp --dport 8080 -j DROP - 或者改用
--network bridge+-p 127.0.0.1:8080:8080，更轻量、更标准
验证是否真的只限本机：用 ss 和 curl 双查
启动后别只信日志，动手确认监听地址是否符合预期：
- 进容器执行：
ss -tlnp | grep :8080→ 应看到127.0.0.1:8080或*:8080，前者才是严格本机 - 在宿主机执行：
curl -v http://127.0.0.1:8080（应通）、curl -v http://$(hostname -I | awk '{print $1}'):8080（应失败） - 如果后者意外成功，说明 Docker 映射没加
127.0.0.1:前缀，或容器用了 host 模式却没做 iptables 限制
真正“只绑定本机”的边界很窄：要么靠 Docker 的 -p 127.0.0.1:… 做第一道过滤，要么靠系统级防火墙补位。FrankenPHP 自身的 -listen 参数只是容器内的行为，脱离网络模式谈“本机”容易误判。
