docker port输出为空或报错“No public port”说明端口映射根本未生效，需检查启动命令是否漏写-p参数、docker-compose.yml中ports是否缩进正确且位于service下级，并通过docker inspect确认PortBindings中HostIp为"0.0.0.0"而非"127.0.0.1"。
超时不是 Docker Desktop 本身的问题，而是请求在某一层被静默丢弃了——它连容器的边都没摸到。
docker port 命令输出为空或报错“No public port”
这说明端口映射根本没生效，docker ps 的 Ports 列只是“声明”，不是事实。
- 检查启动命令是否漏了
-p，比如docker run nginx没加-p 8080:80就注定失败 - Docker Compose 用户重点看
ports是否缩进正确、是否写在 service 下级，而不是跟image并列 - 运行
docker inspect 容器名，搜索"PortBindings"，确认类似"8080/tcp": [{"HostIp": "0.0.0.0", "HostPort": "8080"}]存在；如果HostIp是"127.0.0.1"，外部访问就会超时
容器内服务只监听 127.0.0.1
这是最隐蔽的超时原因：宿主机本机能 curl 通，但外网一连就 timeout。因为流量压根没进容器。
- 进容器执行
netstat -tlnp | grep :端口，必须看到*:端口或0.0.0.0:端口；若显示127.0.0.1:端口，服务就对外不可达 - Flask 加
--host=0.0.0.0；FastAPI 用uvicorn.run(..., host="0.0.0.0")；Node.js 写app.listen(端口, "0.0.0.0") - Nginx 配置里检查
listen指令，别写成listen 127.0.0.1:80，应为listen 80或listen 0.0.0.0:80
Windows 防火墙或 WSL2 网络转发未就绪
Docker Desktop 在 Windows 上依赖 WSL2，而 WSL2 的网络栈和防火墙策略是独立的。
- Win10/11 默认防火墙会拦截非白名单端口，即使你开了
8080，也要确认规则应用在“专用”和“公用”两个配置文件上 - 运行
wsl -l -v确保 WSL2 已启用；再进 WSL2 执行cat /proc/sys/net/ipv4/ip_forward，结果必须是1（Docker Desktop 通常自动开启，但某些企业镜像或手动改过/etc/wsl.conf的会关掉） - 若使用 WSL2 后端，宿主机访问
localhost:8080实际走的是 WSL2 的localhost，不是 Hyper-V 虚拟网卡；外网访问则必须通过宿主机真实 IP，且该 IP 的防火墙放行不能少
云服务器安全组或家用路由器 NAT 未配置
很多人在本地测试没问题，一上云或连公司网络就超时——问题根本不在 Docker Desktop，而在流量入口之前。
- 阿里云/腾讯云/UCloud 控制台的安全组，默认拒绝所有入向 TCP 流量；必须显式添加规则：协议
TCP、端口范围8080/8080、源地址0.0.0.0/0（或按需限制） - 家用宽带路由器若启用了“DMZ”或“虚拟服务器”，需把宿主机 IP 和目标端口（如
8080）映射进去，否则外网请求连不到你的电脑 - 企业内网常有出口防火墙或代理，可先用手机连同一 Wi-Fi 测试：若手机浏览器能访问
http://宿主机局域网IP:8080，说明 Docker Desktop 链路通；若不行，才继续查本地配置
真正难排查的永远不是“哪步错了”，而是“哪层根本没参与”——超时意味着中间某处没响应，它不像连接拒绝那样留下痕迹。建议从外向内逐层验证：外网 → 宿主机公网IP+端口 → 宿主机防火墙 → WSL2 网络栈 → Docker iptables 规则 → 容器 IP+端口 → 应用监听地址。跳过任意一层，都可能让你在错误的方向上折腾半天。
