运行中的 Docker 容器无法直接修改端口映射，因 -p 参数仅在创建时生效，Docker 无运行时动态添加端口的命令；推荐做法是停止并重建容器，确保配置完整、可复现；临时应急可用 iptables 手动转发，但不持久；commit 后新建容器适用于保留运行时状态场景；直接修改 hostconfig.json 风险高且官方不支持。
运行中的 docker 容器无法直接修改端口映射，因为 -p 参数只在容器创建时生效，docker 不提供 docker port-add 或类似动态命令。端口映射规则一旦写入，就固化在容器的配置和宿主机的 iptables 规则中，运行时不可更改。
推荐做法：停止并重建容器
这是最稳妥、可复现、符合 Docker 设计哲学的方式，适用于绝大多数场景。
- 先获取原容器的完整启动参数，尤其是卷挂载（
-v）、环境变量（-e）、网络模式（--network）、重启策略（--restart）等关键配置 - 执行
docker stop <container>和docker rm <container> - 用
docker run重新创建容器，新增-p 新宿主机端口:容器端口，其他配置保持一致 - 若使用 Docker Compose，直接修改
ports字段后运行docker-compose up -d即可热更新（底层仍是重建）
临时应急：用 iptables 手动转发
适合开发调试或紧急开放某个端口，不依赖容器重启，但需手动维护且重启后失效。
Docker Image Puller
下载
使用 Python 脚本下载 Docker 镜像并打包为 tar 文件。用户说“下载镜像”“拉取镜像”“pull xxx”“帮我下载 nginx 镜像”等时触发。支持 SOCKS5 代理直连（推荐）和国内镜像站加速两种模式。
- 查出容器 IP：
docker inspect -f '{{.NetworkSettings.IPAddress}}' <container> - 添加 DNAT 规则（以宿主机 8081 → 容器 8080 为例）：
iptables -t nat -A PREROUTING -p tcp --dport 8081 -j DNAT --to-destination <container_ip>:8080 - 确保 POSTROUTING 链允许转发：
iptables -t nat -A POSTROUTING -s <container_ip> -j MASQUERADE - 如需持久化，保存规则（如
iptables-save > /etc/iptables/rules.v4），否则宿主机重启后丢失
折中方案：commit 后新建容器
当容器内有大量运行时状态（如已安装软件、配置文件改动）不便重装镜像时可用，但会生成冗余镜像。
- 执行
docker stop <container> - 提交为新镜像：
docker commit <container> myapp:v2 - 用新镜像启动，并加入新端口：
docker run -d -p 9000:9000 --name myapp-new myapp:v2 - 注意：原始容器的 volumes、network 设置不会自动继承，需显式指定
不建议尝试：直接改 hostconfig.json
虽然技术上可行（停 Docker 服务 → 编辑 /var/lib/docker/containers/<id>/hostconfig.json 中的 PortBindings → 重启 Docker），但风险极高：
- Docker 版本升级可能导致配置格式变化，引发解析失败
- 容器元数据与实际 iptables 规则可能不一致，出现端口不通或冲突
- 官方明确不支持，后续维护困难，CI/CD 流程难以标准化
