Docker Compose 生产可用性检查清单：从开发环境到上线的 12 个要点

笨鸟先飞2025-12-032025-12-03

核心配置检查

版本与语法：version 对齐当前 Compose/Engine 版本，避免弃用字段。
网络隔离：自定义 networks，不同环境/服务分网，减少横向风险。
卷与权限：最小化挂载，区分只读/读写；避免将 /var/run/docker.sock 暴露给无关容器。
资源限制：为关键服务设定 deploy.resources.limits（CPU/内存），防止互相抢占。
健康检查：healthcheck + restart 策略，失败时自动重启或退出。
环境变量与密钥：使用 .env 或 secrets，避免把密钥写进镜像和 Git。
日志策略：logging.driver（如 json-file/loki），控制 max-size/max-file，避免磁盘爆满。
依赖顺序：depends_on + 健康检查而不是仅启动顺序，确保上游可用。
时区与时钟：对有审计/过期逻辑的服务统一时区或使用 UTC。
端口暴露：仅暴露必要端口；内部流量走 overlay/bridge。
持久化与备份：标记关键数据卷，建立定时备份（DB/对象存储）。
CI/CD 集成：Build cache、镜像签名、漏洞扫描（Trivy/Grype），上线前阻断高危风险。

示例片段（精简）

services:
  app:
    image: myapp:latest
    deploy:
      resources:
        limits:
          cpus: "1.0"
          memory: 1g
    environment:
      - APP_ENV=prod
    secrets:
      - db_password
    depends_on:
      db:
        condition: service_healthy
    healthcheck:
      test: ["CMD", "curl", "-f", "http://localhost:8080/health"]
      interval: 30s
      timeout: 5s
      retries: 3
    logging:
      driver: json-file
      options:
        max-size: "50m"
        max-file: "3"

  db:
    image: postgres:16
    environment:
      - POSTGRES_PASSWORD_FILE=/run/secrets/db_password
    volumes:
      - dbdata:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U postgres"]
      interval: 10s
      timeout: 5s
      retries: 5

secrets:
  db_password:
    file: ./secrets/db_password

volumes:
  dbdata: