如何限制 Docker 容器对磁盘的读写 IOPS 与吞吐量？
围绕“如何限制 Docker 容器对磁盘的读写 IOPS 与吞吐量”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出 --device-read-bps/--device-write-iops 的用法与 blkio cgroup 限制对象。
核心关键词Docker 磁盘 IO 限制 device-read-bps blkio
面试知识索引 · 分类、标签与搜索
Docker面试题，95 道完整答案
Docker面试题第 2 页，显示第 51–95 题，共找到 95 道完整解析，可继续按分类、标签与关键词缩小范围。
95筛选结果
52技术分类
178检索标签
2索引分页
快速定位
清除全部筛选分类、标签与关键词搜索
技术分类52 个
全部分类5000Docker95AI Agent511浏览器301JavaScript285React281AI 开发262CSS240Node.js217TypeScript206Vue180前端工程化138
查看全部 52 个分类
React Native135操作系统135数据库134计算机网络94API 设计90Kubernetes90HTML89Redis89全栈开发88分布式系统88系统设计86HTTP85Next.js60Angular58Linux53Nuxt51PostgreSQL46可观测性46设计模式46小程序45身份与权限45无障碍44MongoDB43PWA43Web 安全43Git42前端测试42前端性能41WebAssembly40测试40AI 工程37SvelteKit37Go35前端数据管理30React Router29AI 全栈28Svelte27算法12Java10数据结构5前端手写题3
第 2 页
本页面试问题
按稳定语义路径排序
- 0051
- 0052
Docker 容器访问外网与端口映射背后 iptables NAT 规则是如何工作的？
围绕“Docker 容器访问外网与端口映射背后 iptables NAT 规则是如何工作的”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 MASQUERADE 出站与 DNAT 入站规则的生成时机。
核心关键词Docker iptables NAT 端口映射 MASQUERADE - 0053
Docker 的 -m/--memory 限制超出时容器进程会发生什么，如何验证？
本题解释Docker -m/--memory限制触发cgroup OOM killer的机制，说明主进程被杀时的表现（SIGKILL、退出码137），并给出通过docker inspect和dmesg验证的具体方法，同时区分容器存活与主进程被杀的情况。
核心关键词Docker 内存限制 OOM killed cgroup - 0054
同一宿主机上两个 Docker 容器互相访问的正确做法是什么，为什么不建议直接写死对方 IP？
围绕“同一宿主机上两个 Docker 容器互相访问的正确做法是什么，为什么不建议直接写死对方 IP”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明放入同一自定义网络用容器名解析的原因（IP 会变）。
核心关键词Docker 容器互联 同一网络 容器名通信 - 0055
排查 Docker 容器网络不通时，应该按什么顺序检查哪些配置与命令？
围绕“排查 Docker 容器网络不通时，应该按什么顺序检查哪些配置与命令”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须给出从网络归属、DNS、端口映射到 iptables 的排查顺序。
核心关键词Docker 容器 网络不通 排查 docker network inspect - 0056
Docker 的 --cpu-shares 与 --cpus（CFS quota）在 CPU 争抢与空闲时行为有何不同？
本文解析 Docker 中 --cpu-shares 与 --cpus（CFS quota）在 CPU 争抢与空闲时的不同机制：shares 为相对权重软限制，cpus 为绝对硬限制；并通过场景和边界说明如何选择。
核心关键词Docker CPU 限制 cpu-shares cpus 区别 - 0057
如何用 --cpuset-cpus 把 Docker 容器绑定到指定 CPU 核，这解决什么性能问题？
围绕“如何用 --cpuset-cpus 把 Docker 容器绑定到指定 CPU 核，这解决什么性能问题”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明绑核的用法与减少上下文切换/缓存失效的收益。
核心关键词Docker cpuset-cpus CPU 绑定 亲和性 - 0058
如何为 Docker 容器自定义 DNS 服务器与搜索域，哪些网络模式下生效？
围绕“如何为 Docker 容器自定义 DNS 服务器与搜索域，哪些网络模式下生效”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 --dns/--dns-search 的用法及在用户自定义网络中被嵌入式 DNS 代理的语义。
核心关键词Docker 容器 --dns --dns-search 自定义 DNS - 0059
如何查看 Docker 容器健康检查的历史结果与失败输出，用于定位问题？
围绕“如何查看 Docker 容器健康检查的历史结果与失败输出，用于定位问题”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 inspect 中 State.Health.Log 的字段含义与解读。
核心关键词docker inspect 健康状态 Health Log 排查 - 0060
Dockerfile 的 HEALTHCHECK 指令由哪些参数构成，状态如何流转？
围绕“Dockerfile 的 HEALTHCHECK 指令由哪些参数构成，状态如何流转”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 interval/timeout/start-period/retries 的语义与 starting→healthy/unh。
核心关键词Docker HEALTHCHECK interval timeout retries 状态 - 0061
为什么 Docker 健康检查显示 unhealthy 时容器不会自动重启，如何与 restart policy 配合？
围绕“为什么 Docker 健康检查显示 unhealthy 时容器不会自动重启，如何与 restart policy 配”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明健康状态不触发重启的内置行为及与 --restart 的边界。
核心关键词Docker healthcheck unhealthy restart policy 自动恢复 - 0062
为什么 Docker 的 host 网络模式在 Docker Desktop（Mac/Windows）上行为与 Linux 不同？
围绕“为什么 Docker 的 host 网络模式在 Docker Desktop（Mac/Windows）上行为与 Li”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明桌面版 Docker 运行在 Linux VM 中导致 host 指向 VM 而非真宿主机。
核心关键词Docker host 网络模式 Mac Windows 不生效 - 0063
Docker 的 --init 选项解决了 PID 1 不回收僵尸子进程的问题，其原理是什么？
围绕“Docker 的 --init 选项解决了 PID 1 不回收僵尸子进程的问题，其原理是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 tini 作为 PID 1 转发信号并回收孤儿进程的机制。
核心关键词Docker --init tini 僵尸进程 PID 1 - 0064
如何为 Docker 容器配置日志轮转（max-size/max-file），全局与单容器配置如何覆盖？
围绕“如何为 Docker 容器配置日志轮转（max-size/max-file），全局与单容器配置如何覆盖”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 daemon.json 全局配置与 --log-opt 单容器覆盖关系。
核心关键词Docker 日志轮转 max-size max-file log-opts - 0065
Docker 日志驱动的 blocking 与 non-blocking 模式在日志洪峰时对应用有什么不同影响？
围绕“Docker 日志驱动的 blocking 与 non-blocking 模式在日志洪峰时对应用有什么不同影响”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 blocking 可能阻塞应用而 non-blocking 可能丢日志（max-buffer-size）的取舍。
核心关键词Docker 日志 mode non-blocking 丢日志 阻塞 - 0066
Docker 默认的 json-file 日志驱动有什么特点，为什么不配置会导致磁盘被打满？
围绕“Docker 默认的 json-file 日志驱动有什么特点，为什么不配置会导致磁盘被打满”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明日志写入宿主机文件且无默认轮转的风险。
核心关键词Docker json-file 日志驱动 磁盘 占满 - 0067
什么场景应把 Docker 日志驱动切换为 fluentd/syslog 等远端驱动，切换后对 docker logs 有什么影响？
围绕“什么场景应把 Docker 日志驱动切换为 fluentd/syslog 等远端驱动，切换后对 docker log”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明集中式日志采集场景及非本地驱动下 docker logs 失效的代价。
核心关键词Docker 日志驱动 fluentd syslog docker logs 不可用 - 0068
使用非本地日志驱动时如何保留 docker logs 能力，Docker 的 dual logging 缓存如何开启？
围绕“使用非本地日志驱动时如何保留 docker logs 能力，Docker 的 dual logging 缓存如何开启”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 cache 模式在远端驱动下保留本地可读日志的机制与限制。
核心关键词Docker dual logging cache 本地缓存 日志驱动 - 0069
什么场景应该用 Docker 的 macvlan 网络而不是 bridge，它有什么硬性限制？
围绕“什么场景应该用 Docker 的 macvlan 网络而不是 bridge，它有什么硬性限制”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明容器直接获得二层身份的场景（遗留系统直连）与父接口混杂模式/宿主机通信限制。
核心关键词Docker macvlan 网络 场景 限制 - 0070
Docker 中 --memory 与 --memory-swap 组合使用时各取值代表什么语义？
围绕“Docker 中 --memory 与 --memory-swap 组合使用时各取值代表什么语义”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要解释未设置、相等、设为 -1 等组合下 swap 可用量的计算规则。
核心关键词Docker --memory-swap swap 限制 语义 - 0071
Docker 容器基于命名空间的隔离与虚拟机隔离在安全边界上有什么本质区别？
围绕“Docker 容器基于命名空间的隔离与虚拟机隔离在安全边界上有什么本质区别”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须从共享内核角度对比隔离强度与逃逸面。
核心关键词Docker 容器 虚拟机 隔离 区别 安全 - 0072
Docker 容器通过哪些 Linux namespace 实现隔离，各自隔离了什么资源？
本题解释 Docker 容器使用哪些 Linux namespace 及各自隔离资源，涵盖 PID、NET、MNT、UTS、IPC、USER，并指出隔离的局限与适用场景。
核心关键词Docker 容器 namespace 隔离 原理 - 0073
Docker 的 bridge、host、none、container 四种网络模式分别适用什么场景？
围绕“Docker 的 bridge、host、none、container 四种网络模式分别适用什么场景”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须逐一说明四种模式的行为与典型场景。
核心关键词Docker 网络模式 bridge host none 区别 - 0074
如何控制 Docker 容器被 OOM killer 选中的优先级，--oom-kill-disable 有什么使用前提？
围绕“如何控制 Docker 容器被 OOM killer 选中的优先级，--oom-kill-disable 有什么使用”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 oom-score-adj 调整与禁用 OOM 的前提（必须设置内存限制）及风险。
核心关键词Docker OOM oom-score-adj oom-kill-disable - 0075
Docker overlay 网络如何实现跨主机容器通信，依赖什么协议与端口？
围绕“Docker overlay 网络如何实现跨主机容器通信，依赖什么协议与端口”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 VXLAN 封装与 Swarm 控制面的依赖及所需端口。
核心关键词Docker overlay 网络 VXLAN Swarm 跨主机 - 0076
为什么 Docker 容器内的主进程 PID 是 1，这会带来什么问题？
本题解释Docker容器内主进程PID为1的成因，即PID命名空间隔离。重点分析PID1在信号处理和僵尸进程回收上的特殊性，对比容器默认缺少init系统带来的问题，并提供判断和应对方法。
核心关键词Docker 容器 PID 1 进程 问题 - 0077
Docker 的 --pids-limit 如何防御 fork 炸弹，默认值是多少？
围绕“Docker 的 --pids-limit 如何防御 fork 炸弹，默认值是多少”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明限制容器内 PID 总数的机制与内核默认行为。
核心关键词Docker pids-limit fork 炸弹 进程数限制 - 0078
Docker 的 -p 发布端口与 EXPOSE/--expose 在作用上有什么实际区别？
围绕“Docker 的 -p 发布端口与 EXPOSE/--expose 在作用上有什么实际区别”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 EXPOSE 仅是元数据而 -p 建立宿主机端口映射与 iptables 规则。
核心关键词Docker -p publish EXPOSE expose 区别 - 0079
为什么建议用只读方式挂载配置文件或宿主目录进容器，如何设置？
围绕“为什么建议用只读方式挂载配置文件或宿主目录进容器，如何设置”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 :ro 与 --read-only 根文件系统的区别及安全收益。
核心关键词Docker 只读挂载 readonly volume 配置 - 0080
Docker 的 --restart 各策略（no/always/on-failure/unless-stopped）该如何选择？
围绕“Docker 的 --restart 各策略（no/always/on-failure/unless-stopped”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须逐一说明四种策略触发条件与 on-failure 重试计数语义。
核心关键词Docker restart policy always on-failure 区别 - 0081
在什么场景下会让 Docker 容器共享宿主机的 PID 或 IPC 命名空间，代价是什么？
本文解释 Docker 共享宿主机 PID 和 IPC 命名空间的典型场景：调试与 System V IPC 通信，以及隔离性损失的具体表现。给出判断准则：仅在单机调试或信任容器的场合使用，生产环境慎用，因为容器内可操纵宿主进程和 IPC 对象。
核心关键词Docker --pid host --ipc host 共享命名空间 - 0082
为什么用 shell 形式（exec sh -c）作为容器入口会导致主进程收不到 SIGTERM？
围绕“为什么用 shell 形式（exec sh -c）作为容器入口会导致主进程收不到 SIGTERM”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 shell 成为 PID 1 后信号不转发给子进程及 exec 形式/显式 exec 的解法。
核心关键词Docker ENTRYPOINT shell exec 信号 SIGTERM - 0083
直接用 docker kill 或超时被 SIGKILL 对容器内应用有什么数据风险，如何设计规避？
围绕“直接用 docker kill 或超时被 SIGKILL 对容器内应用有什么数据风险，如何设计规避”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明进程无机会 flush/关闭事务的风险与优雅停机设计要点。
核心关键词docker kill SIGKILL 数据一致性 风险 - 0084
在容器入口脚本中如何保证把收到的 SIGTERM 正确转发给实际业务进程？
围绕“在容器入口脚本中如何保证把收到的 SIGTERM 正确转发给实际业务进程”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 exec 替换进程或 trap+wait 的两种正确写法及常见错误。
核心关键词Docker 入口脚本 信号转发 trap wait - 0085
docker stop 向容器发送什么信号，默认等待多久后才 SIGKILL？
围绕“docker stop 向容器发送什么信号，默认等待多久后才 SIGKILL”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明先 SIGTERM、超时后 SIGKILL 及 --time/-t 调整。
核心关键词docker stop SIGTERM SIGKILL 优雅停止 - 0086
如何实时查看 Docker 容器的 CPU、内存、网络与块设备使用量，数据来自哪里？
围绕“如何实时查看 Docker 容器的 CPU、内存、网络与块设备使用量，数据来自哪里”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 docker stats 输出的各列含义及数据源自 cgroup 统计。
核心关键词docker stats 资源监控 cgroup - 0087
为什么容器化应用应该把日志写到 stdout/stderr 而不是写容器内文件？
围绕“为什么容器化应用应该把日志写到 stdout/stderr 而不是写容器内文件”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明日志驱动以标准输出为采集入口及写文件丢失轮转与采集能力的问题。
核心关键词Docker 容器 日志 stdout stderr 最佳实践 - 0088
Docker 的 tmpfs 挂载适合存放什么数据，与 volume 的关键区别是什么？
围绕“Docker 的 tmpfs 挂载适合存放什么数据，与 volume 的关键区别是什么”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 tmpfs 存内存不落盘、随容器停止消失的特性及敏感数据场景。
核心关键词Docker tmpfs 挂载 内存 临时数据 - 0089
Docker 容器的 ulimit（如 nofile）如何设置，默认值从哪里来？
围绕“Docker 容器的 ulimit（如 nofile）如何设置，默认值从哪里来”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 --ulimit、daemon 默认 ulimit 与宿主机继承关系。
核心关键词Docker ulimit nofile 容器 文件句柄限制 - 0090
Docker 的 user namespace remapping 如何解决容器内 root 的安全风险？
围绕“Docker 的 user namespace remapping 如何解决容器内 root 的安全风险”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明容器内 root 映射到宿主机非特权用户的机制及启用方式。
核心关键词Docker userns-remap 用户命名空间 root 安全 - 0091
为什么容器删除后 volume 中的数据仍然存在，什么操作会真正删除 volume？
围绕“为什么容器删除后 volume 中的数据仍然存在，什么操作会真正删除 volume”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明 volume 独立于容器生命周期及 docker rm -v / volume prune 的删除条件。
核心关键词Docker volume 数据持久化 容器删除 - 0092
如何让 Docker volume 存储到 NFS 等远端共享存储，实现跨主机数据访问？
围绕“如何让 Docker volume 存储到 NFS 等远端共享存储，实现跨主机数据访问”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明创建带 driver 选项的 volume 的用法与适用边界。
核心关键词Docker volume driver NFS 共享存储 - 0093
为什么挂载宿主机目录进 Docker 容器后经常出现权限拒绝，如何正确处理 UID 映射？
围绕“为什么挂载宿主机目录进 Docker 容器后经常出现权限拒绝，如何正确处理 UID 映射”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明容器进程 UID 与宿主机文件属主的对应关系及 chown/指定 --user 等解法。
核心关键词Docker 挂载目录 权限 UID 属主 问题 - 0094
Docker 的 volume 与 bind mount 在数据归属、初始化与可移植性上有什么区别？
围绕“Docker 的 volume 与 bind mount 在数据归属、初始化与可移植性上有什么区别”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖必须从生命周期管理、镜像内容初始化、路径依赖三点对比。
核心关键词Docker volume bind mount 区别 - 0095
为什么写入容器可写层的数据性能差且随容器消失，而挂载卷能避免这两点？
围绕“为什么写入容器可写层的数据性能差且随容器消失，而挂载卷能避免这两点”给出直接结论、机制拆解、可复现验证、常见误区与追问，重点覆盖需要说明存储驱动 copy-on-write 的开销与卷直接挂载绕过存储驱动的差异。
核心关键词Docker 可写层 copy-on-write 卷 性能