核心问题是应用绑定127.0.0.1导致外部请求无法到达，应改为监听0.0.0.0；需通过netstat确认监听地址，按语言修改绑定配置，并在host模式下避免误用-p参数，最后验证curl连通性及防火墙设置。
核心问题不是“代理失效”，而是应用绑定了 127.0.0.1（回环地址），导致即使 docker 端口映射配置正确，外部请求也无法到达服务进程。这不是代理层的问题，是容器内服务监听范围过窄造成的。
确认服务是否只监听 127.0.0.1
进入容器检查真实监听状态：
- 运行
docker exec -it <container> bash</container> - 安装并执行
netstat -tuln | grep :端口号（如grep :8080） - 若输出为
127.0.0.1:8080或localhost:8080，说明服务拒绝所有来自容器外部的连接 - 正确应显示
0.0.0.0:8080或:::8080（IPv6 全地址监听）
修改应用绑定地址为 0.0.0.0
不同语言的典型修复方式：
-
Go：把
http.ListenAndServe("127.0.0.1:8080", handler)改成http.ListenAndServe(":8080", handler)或http.ListenAndServe("0.0.0.0:8080", handler) -
Node.js：
server.listen(8080, "0.0.0.0")，不能省略第二个参数 -
Python Flask：启动时加
--host=0.0.0.0，如flask run --host=0.0.0.0 --port=8080 -
Java Spring Boot：在
application.yml中设server.address: 0.0.0.0
避免在 host 模式下误用 -p 参数
如果用了 --network host，Docker 会直接忽略 -p 映射，且警告 “Published ports are discarded”。此时服务必须监听宿主机实际 IP 或 0.0.0.0，而不能只绑 127.0.0.1——否则连宿主机本机 curl 都失败。
补充验证环节
仅改代码还不够，还需确认生效：
- 重启容器后再次
netstat -tuln | grep，确保监听地址已更新 - 在宿主机上用
curl http://localhost:8080测试（绕过浏览器缓存和跨域干扰） - 如仍不通，再查防火墙（
ufw status）、安全组或 iptables DNAT 规则是否缺失
