Docker 基础：镜像、容器与守护进程

docker pull nginx:alpine      # 下载镜像（安装包）
docker run nginx:alpine       # 从镜像启动容器（运行程序）

graph TD
    subgraph "你的终端"
        CLI["docker CLI / $ docker run ..."]
    end
    subgraph "Docker 守护进程"
        SOCK["/var/run/docker.sock / Unix Socket"]
        DOCKERD["dockerd / 以 root 运行 / 常驻后台"]
        CONTAINERD["containerd / 容器生命周期管理"]
    end
    subgraph "容器运行时"
        RUNC["runc / OCI 标准运行时"]
    end
    subgraph "你的容器"
        C["nginx 容器 / 独立进程"]
    end

    CLI -->|"REST API over Unix Socket"| SOCK
    SOCK --> DOCKERD
    DOCKERD --> CONTAINERD
    CONTAINERD --> RUNC
    RUNC --> C

# docker CLI 通过这个 Socket 和 dockerd 通信
ls -l /var/run/docker.sock
# srw-rw---- 1 root docker ... /var/run/docker.sock
#              └ root       └ 属于 docker 组的用户可读写

# 能读写这个 Socket 的人 = 能操控 Docker
# 操控 Docker = 能以 root 身份做任何事
# 这就是为什么 docker 组 ≈ root 权限

# 典型的一次操作
docker run -d --name web -p 8080:80 -v /data:/usr/share/nginx/html nginx:alpine

# 命令拆解：
# docker     — 调用 Docker CLI
# run        — 创建并启动一个新容器
# -d         — 在后台运行（不占用当前终端）
# --name web — 给容器起名 web（不指定则随机生成）
# -p 8080:80 — 把宿主机的 8080 端口，转发到容器的 80 端口
# -v /data:/usr/share/nginx/html — 把宿主机的 /data 目录，挂载到容器的指定路径
# nginx:alpine — 用哪个镜像

pull（拉取镜像）
  │
  ▼
create（创建容器，分配文件系统和网络）
  │
  ▼
start（启动容器进程）
  │
  ▼
running（运行中）
  │
  ├── stop（发送配置的停止信号，等待超时后强杀；默认通常为 SIGTERM）
  │     │
  │     └── 容器进程退出
  │
  ├── kill（发送 SIGKILL，立即强杀）
  │     │
  │     └── 容器进程立即终止
  │
  ├── pause（冻结容器进程（并非关闭全部外部 I/O），不释放内存）
  │     │
  │     └── unpause（恢复运行）
  │
  └── rm（删除容器及其可写层，不自动删除命名卷或镜像）