Java 開發者使用 Docker 必知的五大誤區與避坑指南

誤區一：Docker = 輕量級虛擬機

本質不同：Docker 是 Linux 容器（LXC/containerd/runc）技術的封裝，共享宿主機 Kernel；虛擬機通過 Hypervisor 虛擬化完整硬體，擁有獨立 Kernel。

避坑：不要期望容器提供 VM 級別的安全隔離；敏感業務仍需 VM 或 Kata Containers/gVisor 強隔離方案。

誤區二：Docker 自動讓應用可擴展

Docker 只解決「打包交付一致性」與「快速調度部署」。應用可擴展性取決於代碼架構（無狀態、分庫分表、消息隊列、緩存策略等）。容器化不會自動修復單點瓶頸、鎖競爭、數據庫連接池耗盡等代碼層面問題。

誤區三：Docker 已成熟可大規模生產落地

雖然 Docker 已廣泛用於 CI/CD、開發測試環境，但生產環境仍面臨：
• 多主機網絡/存儲/監控生態尚在演進（K8s 已成事實標準）
• Kernel 版本依賴導致跨 OS 部署風險
• 運行時 Bug（如 runc CVE-2019-5736）需持續升級修補
建議：生產環境務必上 Kubernetes（或托管 K8s），利用成熟的編排、服務發現、自愈、滾動發布能力。

誤區四：Docker 跨平台無縫運行

Docker 依賴 Linux Kernel 特性（Namespace、Cgroups）。
• Linux 原生：最佳效能。
• macOS/Windows：通過輕量 VM（Docker Desktop 內建 LinuxKit VM）運行，存在文件系統映射效能損耗、網絡模式差異。
避坑：開發環境用 Docker Desktop 無妨，但生產鏡像必須在 Linux 上構建、測試、部署，避免「在我機器上跑得通」的幻覺。

誤區五：Docker 天然增強應用安全

容器共享 Kernel，存在容器逃逸風險（Dirty COW、runc 漏洞等）。Docker 本身不提供額外安全層，需配合：
• 最小權限原則：--cap-drop=ALL --security-opt=no-new-privileges
• 只讀根文件系統：--read-only
• 非 root 用戶運行：USER appuser in Dockerfile
• 運行時安全工具：Falco、Sysdig、Kube-bench
• 供應鏈安全：鏡像簽名、掃描漏洞

Java 開發者的 Docker 實戰痛點

1. JMX/遠程調試端口映射麻煩

# 需顯式暴露 RMI/JMX 端口並配置主機名
docker run -p 9010:9010 -p 9011:9011 \
  -e JAVA_OPTS="-Dcom.sun.management.jmxremote.port=9010 \
  -Djava.rmi.server.hostname=容器IP" \
  my-java-app

2. JVM 堆內存設定難題

容器記憶體限制（-m 1G）對 JVM 不可見，JVM 默認按宿主機物理記憶體計算堆大小（1/4），導致 OOM Kill。
解決：JDK 8u191+ 支援 -XX:+UseContainerSupport -XX:MaxRAMFraction=1（或 -XX:MaxRAMPercentage=75），自動識別 Cgroups 限制。
最佳：在入口腳本動態計算 -Xmx，如 Xmx=$(($MEM_LIMIT * 3 / 4))m。

3. 日誌收集

容器標準輸出（stdout/stderr）由 Docker Daemon 托管，配合 logging-driver（json-file/fluentd/syslog）接入 ELK/EFK，避免容器內寫文件導致持久化困難。

總結

Docker 是現代雲原生基石，但不是銀彈。Java 開發者需清醒認知其隔離邊界、資源可見性、網絡模型、安全邊界，配合 Kubernetes、JVM 容器感知參數、觀測體系，才能真正發揮容器化紅利。

1. 上一篇文章： Java 單例模式（Singleton Pattern）核心原理與線程安全實作範例
2. 下一篇文章： Java OutOfMemoryError 完整解析：原因、類型與多環境解決方案

Java 相關知識

Java 測試自定義斷言實戰：用 AssertJ 打造領域語言，提升可讀性與維護性

痛點：基礎斷言的侷限 JUnit `assertEquals

Java String 效能優化深度解析：從記憶體結構到最佳實踐

String 在 JVM 中的儲存結構 在 HotSpot

即時 Java 第 4 部分：即時垃圾收集 - Metronome GC 深度解析

Metronome GC：確定性即時垃圾收集器核心機制與調優

Java Web 版 RSS 閱讀器實戰（五）：基於 myrome 實現完整閱讀功能

系列第五篇，整合改造版 ROME 庫（myrome）實現 R