宿主机外部无法访问Docker Desktop映射端口，主因是流量在抵达容器前被拦截：需确认容器服务监听0.0.0.0（非127.0.0.1）、WSL2启用ip_forward、Windows防火墙放行对应端口（含“公用”作用域），并避免误用host网络模式或localhost绑定。
宿主机外部访问不到 Docker Desktop 映射的端口，不是 Docker Desktop 本身“不支持端口映射”，而是流量在进入容器前就被拦住了——Windows 主机防火墙、WSL2 网络栈、Docker Desktop 的代理层或应用监听地址任一环节出错都会导致连通失败。
检查容器内服务是否监听 0.0.0.0 而非 127.0.0.1
这是 Windows 上最常被忽略的点：即使 docker run -p 8080:80 写对了，如果容器里 Nginx/Flask/Node.js 只绑定了 127.0.0.1，它就收不到来自 WSL2 虚拟网络或 Windows 主机的任何请求。
- 进容器执行
netstat -tuln | grep :端口，确认输出含0.0.0.0:端口或:::端口（IPv6 全监听），而非127.0.0.1:端口 - Flask 启动必须加
flask run -h 0.0.0.0 -p 5000；Node.js 用app.listen(5000, '0.0.0.0') - Spring Boot 配置项写死
server.address=0.0.0.0，别依赖默认值
验证 WSL2 的 ip_forward 是否启用
Docker Desktop 在 Windows 上底层依赖 WSL2，而 WSL2 默认关闭 IPv4 转发。没有它，docker-proxy 无法把 Windows 主机收到的包转发进容器网络。
- 在 WSL2 终端中运行
cat /proc/sys/net/ipv4/ip_forward，结果必须是1 - 临时开启：
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward - 永久生效：编辑
/etc/sysctl.conf，追加net.ipv4.ip_forward = 1，再执行sudo sysctl -p - 注意：重启 WSL2（
wsl --shutdown）后需重新验证，部分发行版会重置该值
确认 Windows 防火墙放行目标端口
Windows Defender 防火墙默认阻止所有入站连接，包括 Docker Desktop 绑定的端口。它不会自动识别 docker-proxy 进程并放行。
- 打开「高级安全 Windows Defender 防火墙」→「入站规则」→ 查找名称含
docker或端口号的规则 - 若无，新建规则：类型选「端口」→ 协议选 TCP → 特定本地端口填你的映射端口（如
8080）→ 操作选「允许连接」 - 确保规则作用域包含「域」「专用」「公用」（尤其是「公用」，外网设备访问时走此配置）
- 命令行快速添加（管理员 PowerShell）：
New-NetFirewallRule -DisplayName "Docker Port 8080" -Direction Inbound -Protocol TCP -LocalPort 8080 -Action Allow
检查 Docker Desktop 的网络模式与绑定地址
Docker Desktop 默认使用 WSL2 后端，但如果你手动改过 daemon.json 或启用了 Kubernetes，可能触发 host 网络异常或代理劫持。
- 确认未在
C:\Users\{user}\AppData\Roaming\Docker\settings.json中误设"host": "tcp://..."类配置 - 避免在
docker run中混用--network host：Windows 不支持真正的 host 模式，强行使用会导致端口不映射 - 若用 Docker Compose，检查
ports:下是否写了"8080:80"而非"127.0.0.1:8080:80"——后者只绑定到 localhost，Windows 主机外的设备仍不可达 - 重启 Docker Desktop 后，运行
docker network inspect bridge，确认EnableIPv6为true（WSL2 网络稳定性更佳）
真正卡住的地方往往不是 Docker Desktop 图形界面或 docker ps 显示“Up”，而是 WSL2 内核参数没开、Windows 防火墙规则没打到“公用”作用域、或者应用代码里那行 listen('127.0.0.1') 没改——这三处漏查一个，端口就永远不通。
