docker events 是实时事件流命令，不持久化历史日志，仅能捕获守护进程运行期间的新事件；需配合 --since/--until（限未重启场景）、--filter 精准筛选，并注意 UTC 与本地时区对齐。
直接看 docker events，不是 Docker Desktop 界面里找——它根本不提供事件历史视图，所有“最近发生了什么”都得靠命令行实时捕获或回溯。
docker events 默认只输出新事件，旧的全丢了
刚打开终端执行 docker events，你只会看到从这一刻起的新动作：容器启动、停止、镜像拉取、守护进程重载……但昨天删掉的容器、两小时前崩溃的服务，一概不显示。Docker 守护进程默认不持久化事件日志，内存里滚一圈就丢。
- 想查过去发生的事件，必须提前开启事件监听并重定向到文件，比如：
docker events --since '2026-10-22T09:00:00+08:00' > events.log -
--since和--until只对当前运行中的守护进程有效，不能回溯已重启前的日志 - 如果 Docker Desktop 重启过，
docker events的时间窗口就从重启时刻重新计时
用 --filter 精准定位某类操作，别靠肉眼扫
默认输出太杂，包含网络创建、卷挂载、守护进程状态变更等无关条目。排查容器异常时，应立刻加过滤：
- 只看某个容器的生命周期：
docker events --filter 'container=web-app-7f3a' - 只看失败动作：
docker events --filter 'event=die' --filter 'status=error' - 组合多个条件（注意引号）：
docker events --filter 'type=container' --filter 'event=start' - 避免漏掉重启类事件：容器
die后紧跟着start，说明启用了 restart policy，这在docker inspect里查.HostConfig.RestartPolicy才能确认
事件时间戳是 UTC，但本地日志是本地时区，对不齐就白查
docker events 输出的时间字段（如 2026-10-22T01:23:45.678000000Z）全是 UTC，而你的应用日志、docker logs 默认用的是宿主机本地时区（比如 +08:00）。直接比对会差 8 小时。
- 查事件时统一转成本地时间：
docker events --since '2026-10-22T09:00:00+08:00'（注意带时区） - 或者让
docker logs强制输出 UTC：docker logs --timestamps --log-opt tag="{{.ID}}" <container_id></container_id>，再和事件时间对齐 - 更稳妥的做法：用
docker inspect --format='{{.State.StartedAt}}' <container_id></container_id>拿出容器实际启动时间，它和事件里的start时间戳格式一致，可直接比对
真正难的不是命令怎么敲，而是意识到 docker events 是个“活水口”，不是“历史库”——它不存档，只广播。你要的“最近发生了什么”，得自己决定从哪一刻开始录，用什么条件筛，再拿什么时间基准去对齐其他日志。漏掉任一环，看到的就只是碎片。
