Windows 上 Docker 报 /var/run/docker.sock 权限拒绝怎么办？
/var/run/docker.sock 是 Linux 环境的 Unix socket；应先核对 Docker context 和容器模式，Windows 容器通常用命名管道 npipe 或受保护的 Remote API；Docker Desktop 里跑 Linux 容器则用挂载 sock 的方式。分场景解决。
问题本质：/var/run/docker.sock 是 Linux 上 Docker 守护进程的 Unix socket。Windows 容器通常用命名管道 \\.\pipe\docker_engine 通信。需先区分容器模式、Docker context 和实际端点；Linux 容器内也可能因权限导致拒绝，不能仅由宿主机是 Windows 判断原因。
先分清你在哪种容器里
| 场景 | Docker API 访问方式 |
|---|---|
| Linux 容器（Docker Desktop 的 Linux 模式） | 挂载 /var/run/docker.sock 可用 |
| Windows 容器 | 命名管道 \\.\pipe\docker_engine |
| 远程 Docker 主机 | TCP + TLS（Docker Remote API） |
场景一：Docker Desktop 的 Linux 容器
Linux 容器里访问 sock 本身是支持的，权限错还可能涉及 socket 的数字 UID/GID、容器用户或 Docker Desktop 的隔离策略。Windows 终端里挂载要写完整路径映射：
docker run -v /var/run/docker.sock:/var/run/docker.sock -it myimg
如果用了 WSL2 后端，在 WSL 发行版内执行同样命令即可。
场景二：Windows 容器
Windows 容器内无法使用 Unix socket，挂载命名管道代替：
docker run --mount 'type=npipe,source=\\.\pipe\docker_engine,target=\\.\pipe\docker_engine' -it myimg
容器内通过 Docker CLI 或 Remote API 操作宿主机 Docker。
场景三：用 Remote API 跨平台访问
在宿主机开启 Docker 的 TCP 监听（2376，务必配 TLS 证书），任何系统的容器都能通过 HTTPS 调用：
docker -H tcp://docker-host:2376 --tlsverify \
--tlscacert=ca.pem --tlscert=client-cert.pem --tlskey=client-key.pem ps
常见问题（FAQ）
Q：挂载 docker.sock 给容器安全吗？
A：要谨慎。拿到 sock 等于拿到宿主机 Docker 的 root 级控制权，只给可信容器，或使用有明确授权规则的 API 代理。把 socket 以 :ro 挂载不会让 Docker API 变成只读。
Q：Docker Desktop 切 Windows 容器模式在哪？
A：托盘图标右键 → "Switch to Windows containers"，两种模式镜像与数据不共享。
Q：CI 流水线里报这个错？
A：CI agent 若是 Windows 节点而脚本按 Linux 写的挂载，统一改 Remote API 或换 Linux agent。
