Docker 中 expose 和 publish 有什么区别？
EXPOSE 是 Dockerfile 里的文档性声明（声明容器监听端口，不做实际映射）；publish（-p）是 docker run 时建立宿主机到容器的真实端口映射。声明 ≠ 开通，本文讲透两者关系。
一句话区别：EXPOSE 是 Dockerfile 里的声明**——"本镜像设计为监听这些端口"，纯文档作用，不开通任何网络通路；publish（docker run -p）是实际映射——把宿主机端口绑定到容器端口，外部流量真正可达。只有 EXPOSE 没有 -p，外部访问不通；只有 -p 没有 EXPOSE，照样通。**
EXPOSE：只起文档作用
FROM nginx
EXPOSE 80
- 不写任何 iptables 规则，不做映射
- 价值：告诉使用者这个镜像该发布哪个端口；
docker ps的 PORTS 列会显示 -P（大写）自动发布时，以 EXPOSE 的端口为清单
publish：真实建立映射
docker run -p 8080:80 nginx # 宿主 8080 → 容器 80
宿主机网络栈上真正开了监听，流量经 NAT 转发进容器。不管镜像 EXPOSE 没 EXPOSE 80，这个映射都成立。
四种组合行为
| EXPOSE | -p | 结果 |
|---|---|---|
| ✅ | ✅ | 声明+映射，规范做法 |
| ✅ | ❌ | 只声明，外部不通（容器间网络内仍可达） |
| ❌ | ✅ | 照样通，映射以 -p 为准 |
| ✅ | -P | 80 映射到宿主随机端口 |
容器间通信不用 publish
同一 Docker 网络内容器互访走内部端口（容器真实监听口），与 -p 无关——publish 只解决"宿主机及外部世界 → 容器"这一个方向。
观测云对照
端口开通状态纳入拨测。 EXPOSE 与 publish 配置错位（声明 80 实际发布成 8080）导致的服务不可达，用观测云拨测从真实外部视角持续验证，配置漂移即刻告警。
常见问题（FAQ）
Q：EXPOSE 能提高安全性吗？
A：不能，它没有任何访问控制作用；安全边界靠 publish 的绑定地址（如 127.0.0.1:）与防火墙。
Q：docker ps 里 PORTS 列显示的和实际不一致？
A：PORTS 显示的是 EXPOSE + publish 的合并信息，以 docker port 容器名 的实际映射为准。
Q：compose 里的 expose 和 ports 对应吗？
A：对应：compose 的 expose ≈ Dockerfile EXPOSE（仅声明+服务网络内可见），ports ≈ -p 发布。
