如何给已存在的 Docker 容器添加端口映射？

直接答案：无法直接添加——-p 端口映射是容器创建时写入网络配置的，运行中的容器改不了。正确姿势：停掉原容器，基于同一镜像用原配置 + 新端口重建一个。重建前需核对卷、可写层、配置与应用一致性，不能假定无损。

重建流程

# 1. 记下原容器配置
docker inspect myapp    # 重点看：镜像、环境变量、卷、重启策略、原端口

# 2. 停掉并改名保留
docker stop myapp && docker rename myapp myapp-old

# 3. 用原配置 + 新端口重建
docker run -d --name myapp \
  --restart unless-stopped \
  -p 8080:80 \
  -p 9090:9000 \
  -v app-data:/data \
  myimage:latest

# 4. 验证后删除旧容器
docker rm myapp-old

需要的可写层内容可先导出，必要时commit辅助保留；commit不包含挂载卷数据，也不是数据库一致性备份，仍需核对原启动配置和依赖。

docker-compose 场景

改 docker-compose.yml 的 ports 加一行，docker compose up -d 会自动重建该服务，比手写 run 参数省心得多——配置即代码，这也是推荐用 compose 管理的原因之一。

不想重建的替代方案

临时转发（应急）：在宿主机上用 socat 把新端口转发进容器网络：

socat TCP-LISTEN:9090,fork TCP:172.17.0.3:9000 &

这只是独立代理转发，不是修改Docker的-p映射；容器IP需从宿主机可达，Docker Desktop等拓扑可能不满足。容器IP用docker inspect查。应急可以，别当长期方案（进程易死、重启丢失）。

反向代理转发：宿主机上跑着的 Nginx/网关加一条转发规则到容器 IP:端口，比 socat 稳。

重新发布端口后，从实际访问方请求宿主机地址与新端口。若已有观测云 HTTP 拨测任务，将目标改为实际对外入口，并核对状态码及响应内容；容器内部访问成功不能证明端口发布和外部网络规则都正确。

常见问题（FAQ）

Q：改 /var/lib/docker 下的配置文件加端口可行吗？
A：网上有改 hostconfig.json 的做法，需要停 Docker 守护进程、风险高、版本间格式会变，强烈不推荐，重建容器才是正道。

Q：重建会丢数据吗？
A：卷（-v 挂载）里的数据不动；可写层里的未持久化改动会丢，重建前先 commit 或把数据卷化。

Q：K8s 里怎么办？
A：若进程已监听目标端口，修改Service的port/targetPort即可路由到现有Pod，通常不需重启。修改Pod模板中的containerPort只是声明；应用监听和hostPort变更则需按实际配置及重建规则处理。