Docker 完整教學 2026：什麼是容器？從安裝、Dockerfile、Compose 多階段構建到安全部署一次學會

# 加入官方 GPG key 與 repository
sudo install -m 0755 -d /etc/apt/keyrings
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo gpg --dearmor -o /etc/apt/keyrings/docker.gpg
echo "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.gpg] https://download.docker.com/linux/ubuntu $(. /etc/os-release && echo "$VERSION_CODENAME") stable" | sudo tee /etc/apt/sources.list.d/docker.list > /dev/null

sudo apt update
sudo apt install -y docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin

sudo usermod -aG docker $USER
# 重新登入後生效，用 docker run hello-world 驗證
docker run hello-world

# 前台跑一個 nginx，本機 8080 對應容器 80
docker run -d --name web -p 8080:80 nginx:alpine

# 看執行中的容器
docker ps

# 進到容器內部
docker exec -it web sh

# 看 log、停止、刪除
docker logs web
docker stop web && docker rm web

# ---- 第一階段：build（編譯、裝相依套件）----
FROM python:3.12-slim AS builder
WORKDIR /app
# ① 先複製依賴清單再裝依賴：善用層快取，改程式碼不會讓依賴重裝
COPY requirements.txt .
RUN pip install --no-cache-dir --prefix=/install -r requirements.txt

# ---- 第二階段：runtime（只留執行所需，鏡像更小更安全）----
FROM python:3.12-slim
WORKDIR /app
# ② 非 root 執行：避免容器被攻破時直接拿到 root
RUN useradd --create-home appuser
COPY --from=builder /install /usr/local
COPY --chown=appuser:appuser app.py .
USER appuser
# ③ 健康檢查：讓 Docker 知道服務「真的活著」而不是程序還在
HEALTHCHECK --interval=30s --timeout=5s --start-period=10s \
  CMD python -c "import urllib.request; urllib.request.urlopen('http://127.0.0.1:8000/health')"
EXPOSE 8000
CMD ["uvicorn", "app.py:app", "--host", "0.0.0.0", "--port", "8000"]

# syntax=docker/dockerfile:1
RUN --mount=type=secret,id=npmrc,target=/root/.npmrc \
    npm ci --production   # 建置後密鑰即消失，不留任何 layer

# compose.yaml
services:
  db:
    image: postgres:17-alpine
    # 具名 volume：資料庫資料真正落盤的地方
    volumes:
      - pgdata:/var/lib/postgresql/data
    environment:
      POSTGRES_USER: app
      POSTGRES_PASSWORD: ${DB_PASSWORD:?請設定 DB_PASSWORD}
    # 健康檢查：pg_isready 就緒後才啟動 web
    healthcheck:
      test: ["CMD", "pg_isready", "-U", "app"]
      interval: 10s
      timeout: 5s
      retries: 5
    # 安全：丟掉所有 capabilities、檔案系統唯讀、禁止提權
    cap_drop: [ALL]
    read_only: true
    tmpfs: [/tmp:size=64m]
    networks:
      - backend

  web:
    build: .
    environment:
      DATABASE_URL: postgresql://app:${DB_PASSWORD}@db:5432/app
    depends_on:
      db:
        condition: service_healthy
    # 開發時即時同步程式碼
    # 搭配 docker compose watch 使用（sync / restart / rebuild 三種動作）
    develop:
      watch:
        - path: ./app
          action: sync
          target: /app
    networks:
      - backend
      - frontend

  caddy:
    image: caddy:2
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
      - caddy_data:/data   # TLS 憑證持久化
    networks:
      - frontend

networks:
  frontend:
  backend:
    internal: true        # 🔒 這個網路的容器無法連外網

volumes:
  pgdata:
  caddy_data:

docker compose up -d        # 背景啟動整組
docker compose ps           # 看狀態
docker compose logs -f web  # 追蹤某服務 log
docker compose up -d --build   # 程式碼變更後重建
docker compose down         # 停止並移除（volume 保留）