# Docker Compose Patterns for Production (2025) ## 概述 This skill documents production-ready Docker Compose patterns and best practices for 2025, based on official Docker documentation and industry standards. ## File Format Changes (2025) **重要提示：** Docker Compose v2.42+ 中的“version”字段现已**过时**。 **Correct (2025):** 服务：应用程序：图片：myapp：最新 **Incorrect (deprecated):** 版本：'3.8' # 不要使用服务：应用程序：图片：myapp：最新 ## Multiple Environment Strategy ### Pattern: Base + Environment Overrides **compose.yaml (base):** 服务：应用程序：构建：上下文：./app dockerfile: Dockerfile 环境： - NODE_ENV=生产重新启动：除非停止 **compose.override.yaml（开发 - 自动加载）：** 服务：应用程序：构建：目标：发展卷： - ./app/src:/app/src:cached 环境： - NODE_ENV=开发 - DEBUG=* 端口： - "9229:9229" # 调试器 **compose.prod.yaml (production - explicit):** 服务：应用程序：构建：目标：生产部署：副本：3 资源：限制：中央处理器：'1' 内存：512M 重启策略：条件：故障时最大尝试次数：3 **用途：** # Development (auto-loads compose.override.yaml) 码头工人组成 # 生产 docker compose -f compose.yaml -f compose.prod.yaml up -d # CI/CD docker compose -f compose.yaml -f compose.ci.yaml up --abort-on-container-exit ## 环境变量管理 ### 模式：每个环境 .env 文件 **.env.template (committed to git):** # 数据库 DB_HOST=sqlserver DB_PORT=1433 DB_NAME=myapp DB_USER=sa # DB_PASSWORD= (set in actual .env) # Redis REDIS_HOST=redis REDIS_PORT=6379 # REDIS_PASSWORD= （在实际的 .env 中设置） # 应用 NODE_ENV=生产 LOG_LEVEL=信息 **.env.dev:** DB_PASSWORD=Dev!Pass123 REDIS_PASSWORD=redis-dev-123 NODE_ENV=开发 LOG_LEVEL=调试 **.env.prod:** DB_PASSWORD=${PROD_DB_PASSWORD} # 来自 CI/CD REDIS_PASSWORD=${PROD_REDIS_PASSWORD} NODE_ENV=生产 LOG_LEVEL=信息 **加载特定环境：** docker compose --env-file .env.dev up ## 安全模式 ### 模式：以非 root 用户身份运行服务：应用程序： image: node:20-alpine 用户：“1000：1000”# UID：GID 只读：真临时文件系统： - /tmp - /应用程序/.cache 上限下降： - 全部上限添加： - NET_BIND_SERVICE # 仅当绑定到端口 < 1024 时安全选项： - 无新特权：true **在 Dockerfile 中创建用户：** FROM node:20-alpine # 创建应用程序用户运行 addgroup -g 1000 appuser && \ adduser -D -u 1000 -G appuser appuser # Set ownership 工作目录/应用程序复制 --chown=appuser:appuser 。。 USER 应用程序用户 ### 模式：秘密管理 **Docker Swarm 秘密（生产）：** 服务：应用程序：秘密： - 数据库密码 - api_key 秘密：数据库密码：文件：./secrets/db_password.txt api_key: external: true # 由 Swarm 管理 **访问应用程序中的秘密：** // 从/run/secrets/读取 const fs = require('fs'); const dbPassword = fs.readFileSync('/run/secrets/db_password', 'utf8').trim(); **开发替代方案（环境）：** 服务：应用程序：环境： - DB_PASSWORD_FILE=/run/secrets/db_password ## 健康检查模式 ### Pattern: Comprehensive Health Checks **HTTP 端点：** 服务：网址：健康检查： test: ["CMD", "curl", "-f", "http://localhost:8080/health"] 间隔：30秒超时：3秒重试次数：3 开始周期：40秒 **数据库ping：** 服务： postgres：健康检查： test: ["CMD-SHELL", "pg_isready -U $$POSTGRES_USER"] 间隔：10秒超时：3秒重试次数：3 **Custom script:** 服务：应用程序：健康检查： test: ["CMD", "node", "/app/scripts/healthcheck.js"] 间隔：30秒超时：3秒重试次数：3 开始周期：40秒 **健康检查.js：** const http = require('http'); 常量选项 = { 主机名：'本地主机'，端口：8080，路径：'/健康'，超时：2000 }; const req = http.request(选项, (res) => { process.exit(res.statusCode === 200 ? 0 : 1); }); req.on('错误', () => process.exit(1)); req.on('超时', () => { 请求.destroy(); 进程.退出(1); }); 请求结束(); ## 依赖管理 ### 模式：有条件的有序启动服务：网址：取决于：数据库：条件：服务健康雷迪斯：条件：service_started migration: 条件：服务_完成_成功数据库：健康检查：测试：[“CMD-SHELL”，“pg_isready”] 间隔：10秒雷迪斯： # 无需健康检查，只需等待开始迁移：图片：myapp：最新 command: npm run migrate restart: "no" # 运行一次取决于：数据库：条件：服务健康 ## 网络隔离模式 ### 模式：三层网络架构服务： nginx：图片：nginx:alpine 网络： - 前端端口： - “80:80” 应用程序编程接口：构建：./api 网络： - 前端 - 后端数据库：图片：postgres：16-alpine 网络： - backend # 没有前端访问权限网络：前端：司机：桥后端：司机：桥 Internal: true # 没有外部访问 ### 模式：特定服务网络服务：网络应用程序：网络： - public - 应用程序网络应用程序编程接口：网络： - 应用程序网络 - 数据网络 postgres：网络： - 数据网络雷迪斯：网络： - 数据网络网络：公众：司机：桥应用程序网络：司机：桥内部：真实数据网络：司机：桥内部：真实 ## Volume Patterns ### 模式：持久化命名卷服务：数据库：卷： - db-data:/var/lib/postgresql/data # Persistent data - ./init:/docker-entrypoint-initdb.d:ro # Init scripts (read-only) - db-logs:/var/log/postgresql # 日志卷：数据库数据：司机：本地驱动程序选项：类型：无 o：绑定 device: /mnt/data/postgres # 主机路径数据库日志：司机：本地 ### 模式：开发绑定安装服务：应用程序：卷： - ./src:/app/src:cached # macOS optimization - /app/node_modules # Don't overwrite installed modules - app-cache:/app/.cache # Named volume for cache **卷安装选项：** * `:ro` \- 只读 * `:rw` \- Read-write (default) * `:cached` \- macOS performance optimization (host authoritative) * `:delegated` \- macOS performance optimization (container authoritative) * `:z` \- SELinux single container * `:Z` \- SELinux multi-container ## Resource Management Patterns ### 模式：CPU 和内存限制服务：应用程序：部署：资源：限制：中央处理器：'1.0' 内存：512M 预订：中央处理器：'0.5' 内存：256M **Calculate total resources:** # 3 个应用程序副本 + 数据库 + Redis 服务：应用程序：部署：副本：3 资源：限制： cpus: '0.5' # 3 x 0.5 = 1.5 CPUs memory: 512M # 3 x 512M = 1.5GB 数据库：部署：资源：限制： cpus: '2' # 2 CPUs 内存：4G#4GB 雷迪斯：部署：资源：限制： cpus: '0.5' # 0.5 CPUs 内存：512M#512MB # Total: 4 CPUs, 6GB RAM minimum ## 记录模式 ### Pattern: Centralized Logging 服务：应用程序：记录：驱动程序：“json 文件” 选项：最大尺寸：“10m” 最大文件：“3” 压缩：“真” labels: "app,environment" **Alternative: Log to stdout/stderr (12-factor):** 服务：应用程序：记录：驱动程序：“json 文件” 选项：最大尺寸：“10m” 最大文件：“3” **查看日志：** docker compose logs -f app docker compose logs --since 30m app docker compose logs --tail 100 app ## Init Container Pattern ### Pattern: Database Migration 服务：迁移：图片：myapp：最新命令： npm 运行迁移取决于：数据库：条件：服务健康 restart: "no" # 运行一次网络： - 后端应用程序：图片：myapp：最新取决于：迁移：条件：服务_完成_成功网络： - 后端 ## YAML Anchors and Aliases ### Pattern: Reusable Configuration x-common-app-config: &common-app 重新启动：除非停止记录：驱动程序：“json 文件” 选项：最大尺寸：“10m” 最大文件：“3” 安全选项： - 无新特权：true 上限下降： - 全部上限添加： - NET_BIND_SERVICE 服务：应用程序1： <<：*通用应用程序构建：./app1 端口： - “8001:8080” 应用程序2： <<：*通用应用程序 build: ./app2 端口： - "8002:8080" 应用程序3： <<：*通用应用程序构建：./app3 端口： - "8003:8080" ### 模式：特定于环境的覆盖 x-logging: &default-logging 驱动程序：“json 文件” 选项：最大尺寸：“10m” 最大文件：“3” x-resources: &default-resources 限制：中央处理器：'1' 内存：512M 预订：中央处理器：'0.5' 内存：256M 服务：应用程序： logging: *default-logging 部署： resources: *default-resources ## 端口绑定模式 ### Pattern: Security-First Port Binding 服务： # 公共服务网址：端口： - “80:8080” - “443:8443” # Development only (localhost binding) debug: 端口： - "127.0.0.1:9229:9229" # Debugger only accessible from host # Environment-based binding 应用程序：端口： - "${DOCKER_WEB_PORT_FORWARD:-127.0.0.1:8000}:8000" **环境控制：** # 开发 (.env.dev) DOCKER_WEB_PORT_FORWARD=127.0.0.1:8000 # 仅限本地主机 # 生产 (.env.prod) DOCKER_WEB_PORT_FORWARD=8000 # 所有接口 ## 重启策略模式服务： # 始终重新启动（生产服务）应用程序：重新启动：始终 # 重新启动，除非手动停止（最常见）数据库：重新启动：除非停止 # 永不重新启动（一次性任务）迁移：重新启动：“否” # 仅在失败时重新启动（使用 Swarm）工人：部署：重启策略：条件：故障时延迟：5秒最大尝试次数：3 窗口：120秒 ## 验证和测试 ### 模式：部署前验证 #!/bin/bash 设置-euo管道故障 echo“正在验证 Compose 语法...” docker compose 配置 > /dev/null echo“构建图像...” docker 撰写构建 echo“正在运行安全扫描...” 对于 $(docker compose config --services) 中的服务；做 image=$(docker compose config | yq ".services.$service.image") 如果 [ -n "$image" ];然后 docker scout cves“$image”||真实菲完成 echo“正在启动服务...” docker 组成-d echo “正在检查健康状况...” 睡10 docker 撰写 ps echo“正在运行冒烟测试...” 卷曲-f http://localhost:8080/health || 1号出口 echo "✓ 所有检查均已通过" ## 完整的生产示例 # 现代 Compose 格式（v2.40+ 没有版本字段） x-公共服务：&公共服务重新启动：除非停止记录：驱动程序：“json 文件” 选项：最大尺寸：“10m” 最大文件：“3” 安全选项： - 无新特权：true 服务： nginx： <<：*公共服务图片：nginxinc/nginx-unprivileged:alpine 端口： - “80:8080” 卷： - ./nginx/conf.d:/etc/nginx/conf.d:ro 网络： - 前端取决于：应用程序编程接口：条件：服务健康健康检查：测试：[“CMD”，“wget”，“--quiet”，“--tries=1”，“--spider”，“http://localhost:8080/health”] 间隔：30秒应用程序编程接口： <<：*公共服务构建：上下文：./api dockerfile: Dockerfile 目标：生产用户：“1000：1000” 只读：真临时文件系统： - /tmp 上限下降： - 全部上限添加： - NET_BIND_SERVICE 网络： - 前端 - 后端取决于：迁移：条件：服务_完成_成功雷迪斯：条件：service_started 环境文件： -.env 健康检查：测试：[“CMD”，“节点”，“healthcheck.js”] 间隔：30秒开始周期：40秒部署：资源：限制：中央处理器：'1' 内存：512M 迁移：图片：myapp：最新命令： npm 运行迁移重新启动：“否” 网络： - 后端取决于： postgres：条件：服务健康 postgres： <<：*公共服务图片：postgres：16-alpine 环境： - POSTGRES_PASSWORD_FILE=/run/secrets/postgres_password 秘密： - postgres_密码卷： - postgres-数据：/var/lib/postgresql/data 网络： - 后端健康检查：测试：[“CMD-SHELL”，“pg_isready”] 间隔：10秒部署：资源：限制：中央处理器：'1' 内存：2G 雷迪斯： <<：*公共服务图片：redis:7.4-alpine 命令：redis-server --requirepass ${REDIS_PASSWORD} 卷： - redis-数据：/数据网络： - 后端健康检查：测试：[“CMD”，“redis-cli”，“ping”] 间隔：10秒网络：前端：司机：桥后端：司机：桥内部：真实卷： postgres 数据：司机：本地 redis 数据：司机：本地秘密： postgres_密码：文件：./secrets/postgres_password.txt ## 要避免的常见错误 1. **使用`version`字段** \- 2025年过时 2. **没有健康检查** \- 导致竞争条件 3. **以 root 身份运行** \- 安全风险 4. **No resource limits** \- Can exhaust host resources 5. **Hardcoded secrets** \- Use secrets or environment variables 6. **无日志记录限制** \- 磁盘空间问题 7. **Bind mounts in production** \- Use named volumes 8. **Missing restart policies** \- Services don't recover 9. **No network isolation** \- All services can talk to each other 10. **Not using .dockerignore** \- Larger build contexts ## 故障排除命令 # 验证语法 docker 撰写配置 # 查看合并后的配置 docker compose 配置 --services # 检查正在使用哪个文件 docker compose 配置--文件 # 查看环境插值 docker compose 配置 --no-interpolate # 检查服务依赖关系 docker 撰写配置 | yq '.services.*.depends_on' # 查看资源使用情况 docker stats $(docker compose ps -q) # 调试启动问题 docker compose up --no-deps 服务名称 # 强制重新创建 docker compose up --force-recreate 服务名称 ## 参考文献 * [Docker Compose Documentation]() * [Compose v2.42+ Release Notes]() * [Best Practices]()

2025 年组合模式

包含技能