运行中的 Docker 容器能动态暴露端口吗？
不能。端口发布（-p）只能在创建容器时指定；docker container port 只是查看映射的命令。运行中想对外开端口：重建容器（标准）、iptables/socat 转发（应急）。本文说明各方案。
结论：不能动态发布——-p 映射在容器创建时写进网络配置，运行中无法新增。docker container port <容器> <端口> 只是查询现有映射的命令，不是设置命令。需要对外开新端口时，标准做法是带新端口重建容器；应急可用宿主机转发顶上。
docker container port 到底干什么
docker container port myapp 8080
# 输出：0.0.0.0:32768
它回答的是"容器的 8080 映射到宿主机哪个端口"，纯查询。看到输出是空，说明这个端口没有发布。
标准方案：重建容器
docker stop myapp && docker rename myapp myapp-old
docker run -d --name myapp -p 8080:8080 -p 9090:9000 ... 原配置 ... myimage
docker rm myapp-old # 验证无误后
数据在卷里则完全无损。compose 用户改 yml 里 ports 后 docker compose up -d 自动重建。
应急方案：宿主机层转发
不想中断容器时，在宿主机做转发（容器内部应用已在监听目标端口的前提下）：
# 查出容器 IP
CID_IP=$(docker inspect -f '{{range.NetworkSettings.Networks}}{{.IPAddress}}{{end}}' myapp)
# 用 socat 转发
socat TCP-LISTEN:9090,fork TCP:$CID_IP:9000 &
# 或 iptables
iptables -t nat -A PREROUTING -p tcp --dport 9090 -j DNAT --to-destination $CID_IP:9000
注意：socat 进程会随终端/重启消失；iptables 规则重启丢失。这些只用于"撑到下次发版重建"。
相关概念别混淆
- EXPOSE 指令：Dockerfile 里的文档性声明，不做实际发布
- expose（compose）：仅服务网络内可见的声明
- -p 发布：真正打通宿主机→容器，只能在创建时定
观测云对照
端口开放状态纳入可用性监控。 重建或转发后，用观测云拨测从外部验证新端口确实可访问并持续监控，避免"以为开了实际没通"的盲区。
常见问题（FAQ）
Q：为什么 Docker 不支持动态加端口？
A：端口发布涉及 iptables/路由规则的创建期配置，Docker 设计上把容器网络视为创建时定型的资源。
Q：改 /var/lib/docker/containers 下的配置文件可行吗？
A：有教程这么教，但需停 Docker 服务、格式随版本变、极易搞坏，生产环境别试。
Q：K8s 里呢？
A：Pod 同样不可改端口；改 Service 或 Deployment 定义走滚动更新。
