EXPOSE仅声明容器监听端口，不实现宿主机映射；真正映射需通过docker run -p（显式）或-P（随机）参数，且-p/-P依赖EXPOSE元数据才能生效。
EXPOSE 只是声明，不等于端口映射
是 Dockerfile 中的一个指令，它**只在镜像构建阶段起作用**，用于向使用者说明“这个镜像默认会监听哪些端口”。它不会触发任何网络配置，也不会让宿主机自动开放或转发端口。很多新手误以为写了
就能直接用
访问容器，结果失败——因为根本没做映射。
真正实现外部可访问的，是运行容器时的
或
参数。Docker 会据此修改 iptables 规则、绑定宿主机 socket，并更新容器的
。
写在 Dockerfile 里，影响的是镜像元数据（
可查）
写在
命令中，影响的是容器运行时的网络行为
如果镜像里没
，
依然可以工作；反之，只写
而不加
，外部完全无法访问
为什么有的容器
显示端口却访问不了
常见现象：
输出里看到
，但
超时或拒绝连接。这通常不是
的问题，而是以下几种情况：
容器内服务没监听
，只监听了
（比如某些 Python Flask 默认配置），导致 Docker 网桥收不到包
宿主机防火墙（如
、
）拦截了该端口，需手动放行：
容器启动后服务崩溃退出，
看起来在运行，实际进程已死（用
确认）
使用了
这种绑定，此时仅本机 loopback 可访问，局域网其他机器不可达
和
的实际区别与风险
（小写）和
（大写）都依赖于
才能生效，但行为完全不同：
Docker Sandbox
创建并管理 Docker 沙箱虚拟机环境以安全执行代理。适用于运行不受信任代码、探索包或隔离代理工作负载。支持 Claude、Codex、Copilot、Gemini 和 Kiro 代理，并提供网络代理控制。
下载
：明确将宿主机 8080 端口映射到容器 80 端口。端口冲突时直接报错：
（大写）：Docker 会扫描镜像中所有
的端口（如
），然后为每个端口在宿主机 49153–65535 范围内随机分配一个可用端口。无法预测、不便调试，仅适合临时测试
注意：
不会映射未被
声明的端口，哪怕容器内部实际监听了它
示例：若 Dockerfile 含
，执行
，可能得到
—— 你得先
查，再 curl。
修改已运行容器的端口映射有多危险
Docker 官方不支持运行中修改端口映射。所谓“修改
+ 重启
docker
daemon”属于黑盒操作，极易出问题：
修改前必须停掉整个
服务，所有容器瞬间中断，生产环境不可接受
和
必须严格同步修改，漏改一项（如
或
）会导致容器启动失败或端口不可用
容器 ID 对应目录路径含特殊字符（如
），手动编辑易误删或权限错误
一旦出错，恢复成本高，不如
+
重起更可控
真正需要长期维护的容器，建议从一开始就用
显式指定，或改用
管理端口配置——避免后期硬改配置文件。
EXPOSEEXPOSE 8080curl localhost:8080-p-Phostconfig.jsonEXPOSEdocker inspect image-name | grep -i expose-p 8080:80docker runEXPOSE-pEXPOSE-pdocker psdocker ps0.0.0.0:8080->80/tcpcurl localhost:8080EXPOSE0.0.0.0:80127.0.0.1:80ufwfirewalldsudo ufw allow 8080docker psdocker logs -p 127.0.0.1:8080:80-p-P-p-PEXPOSE-p 8080:80Error response from daemon: driver failed programming external connectivity… port is already allocated-PEXPOSEEXPOSE 80 443 5000-PEXPOSEEXPOSE 8080docker run -d -P nginx0.0.0.0:49154->8080/tcpdocker pshostconfig.jsondockerdhostconfig.jsonconfig.v2.jsonExposedPortsPortBindings/var/lib/docker/containers/363ff2d977f8*docker commitdocker run -p ...docker run -pdocker-compose.yml